Skip to main content
コメントの内容を転記しました
ソース リンク
nekketsuuu
  • 2.4万
  • 12
  • 53
  • 117

質問
HTMLエスケープはどういう時に必要ですか?


質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します


下記ケースでは、それぞれ(出力直前に)HTMLエスケープが必要ですか?

  • a.「任意user」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容

  • d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容

  • e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容

質問
HTMLエスケープはどういう時に必要ですか?


質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します


下記ケースでは、それぞれ(出力直前に)HTMLエスケープが必要ですか?

  • a.「任意user」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容

  • d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容

  • e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容

質問
HTMLエスケープはどういう時に必要ですか?


質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました。ここでいうHTMLエスケープとは、PHPの htmlspecialchars のような、htmlタグを無効化するものを想定しています
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します


下記ケースでは、それぞれ(出力直前に)HTMLエスケープが必要ですか?

  • a.「任意user」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容

  • d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容

  • e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容

ソース リンク
re9
  • 6,814
  • 30
  • 133
  • 249

HTMLエスケープについて

質問
HTMLエスケープはどういう時に必要ですか?


質問経緯
・これまで、出力直前に必ずHTMLエスケープを実施してきました
・しかし、(HTMLエスケープ処理を)必ずしも毎回実行しなくてもよいのでは? と思ったので質問します


下記ケースでは、それぞれ(出力直前に)HTMLエスケープが必要ですか?

  • a.「任意user」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • b.「自分」がフォームからPOST送信した内容を、受信後すぐにブラウザ出力

  • c.DBから取得した内容をブラウザ出力。※DBデータは「任意user」がフォームからPOST送信した内容

  • d.DBから取得した内容をブラウザ出力。※DBデータは「自分」がフォームからPOST送信した内容

  • e.DBから取得した内容をブラウザ出力。※DBデータはフォームを使用せずINSERTした内容