htmlﾀｸﾞが使えるﾌﾞﾛｸﾞなどのｼｽﾃﾑのｾｷｭﾘﾃｨについての質問です｡今のところjavascriptでﾁｪｯｸしているだけなのですが
ｻｰﾊﾞｰｻｲﾄﾞでもﾁｪｯｸした方がよいでしょうか？
必須です｡
ちょっとﾌﾟﾛｸﾞﾗﾑを書くことができる人なら､Web ｻｰﾊﾞへ直接､ﾃﾞｰﾀを送信するﾌﾟﾛｸﾞﾗﾑは書けます｡JavaScript でのﾁｪｯｸは､あくまでもﾌﾞﾗｳｻﾞを利用する人に対して､利便性(誤った入力である事を､Web ｻｰﾊﾞに送信して応答を待つことなく､利用者に伝えることで､応答性を向上させている)を提供しているに過ぎません｡
そして､出力時にもﾁｪｯｸが必要でしょうか？
原則は､
です｡
この辺の話は､通称｢徳丸本｣と呼ばれる下記の書籍がﾊﾞｲﾌﾞﾙとしてよく紹介されます｡原理的な事からきちんと書かれている本ですので､まずはこれで勉強してみて下さい｡
体系的に学ぶ 安全なWebｱﾌﾟﾘｹｰｼｮﾝの作り方 脆弱性が生まれる原理と対策の実践
> ｻｰﾊﾞｰｻｲﾄﾞでもﾁｪｯｸした方がよいでしょうか？
必要です｡
ﾁｪｯｸするJavaScriptが含まれているｺﾝﾃﾝﾂ以外から投稿された場合､ｻｰﾊﾞで防ぐしかないからです｡
> そして､出力時にもﾁｪｯｸが必要でしょうか？
投稿時にｻｰﾊﾞで十分にﾁｪｯｸされていれば､出力時にﾁｪｯｸする必要はありません｡二度手間だからです｡
ｻｰﾊﾞ側のﾁｪｯｸですが､PHPが使えればstrip_tags関数を使って正規表現を使わなくても除去できます｡
http://labs.uechoco.com/blog/2007/12/phpstrip_tagshtml.html
前の回答者さんが答えているように
ｻｰﾊﾞｻｲﾄﾞでﾁｪｯｸは必要です｡ﾃﾞｰﾀ保存前に必ず行います｡
出力時は､よっぽどのことがない限り簡易的なものでよいです｡
必要ならばﾁｪｯｸをいれてもいいです｡
ﾊﾟｯｹｰｼﾞのﾌﾞﾛｸﾞｼｽﾃﾑなどは､基本両方入っていることが多い印象ですが｡
ﾁｪｯｸする項目ですが､作りたいものに応じて取捨する形になります｡
ｾｷｭﾘﾃｨ的にはscriptﾀｸﾞなどjavascriptとﾌｫｰﾑﾀｸﾞを排除すればOKです｡
見栄えﾀｸﾞは正規表現で細かく調整します｡こちらはやりだすと作業大変です｡
･ｽｸﾘﾌﾟﾄﾀｸﾞは悪さするので必ず無効､ただしﾌﾞﾛｸﾞﾊﾟｰﾂなどscriptを使わざるを得ない場合はその表記だけ生きるように設定する
･onclick､onmouseoverなどもいろいろ出来るので極力無効に｡
･ｺﾒﾝﾄｱｳﾄﾀｸﾞは排除し忘れることが多いので要注意｡全て無効に｡SSIも当然排除｡
･閉じﾀｸﾞを自動挿入するなど(ｾｷｭﾘﾃｨ的にはやらなくても問題ない)
･ﾌｫｰﾑﾀｸﾞも無効に
ﾀｸﾞを使うとどういったことが出来るようになるのか考え､それはやらせていいのかどうか､ひとつずつ上げていって取捨するのがいいと思います｡
絶対に必要です｡
簡単にｿｰｽｺｰﾄﾞを解析すれば
直接命令を送ることができますので｡
ｻｰﾊﾞ側の言語によりますが
例えばphpでしたら
http://rasukaru55.sitemix.jp/tag_tori.php
が参考になるかもしれません｡
あと
ｻｰﾊﾞﾃﾛの技法という本が
私は大変ためになりました｡
ｻｲﾊﾞｰﾃﾛだったかな｡
他にも攻撃の手法をいろいろ紹介されていてそれの防御方法がのっていました｡
ﾔﾊﾞいｺｰﾄﾞを実行させない方法として､許可するHTMLﾀｸﾞを別ﾀｸﾞにしてしまうという方法があります｡
例えば原文で *RED* と書いたら､出力時にはで font color のﾀｸﾞに置き換えるとかです｡
もちろん原文の括弧は必ずHTMLｴｽｹｰﾌﾟしないと意味ないです｡
さらにいうなら原文に直接書くのではなく許可ﾀｸﾞを文字ではなくﾋﾞｼﾞｭｱﾙに確認できるといいですね｡
ｱﾒﾌﾞﾛのﾌﾞﾛｸﾞｴﾃﾞｨﾀｰみたいな感じならｴﾝﾄﾞﾕｰｻﾞｰの負担も無いでしょう｡
