Jtest Security－Java対応ソースコードセキュリティ検証ツール－

クロスサイト スクリプティング (XSS) は、ユーザの入力データを使用して動的にページを出力する Webアプリケーションの脆弱性を利用し、ユーザのブラウザ上で悪意のあるスクリプトを実行させるセキュリティ攻撃です。
多くの場合、攻撃者が用意した Web ページや電子メール中のリンクから脆弱性のある Web サイトに誘導するという段階を踏むため、クロスサイト (サイトをまたがる) スクリプティングと呼ばれます。

ごく簡単なケースとして、ユーザがフォームのテキスト ボックスに文字列を入力して送信すると、その文字列を含む HTMLページを返す Webアプリケーションを例に紹介します。

XSS を防ぐには、ユーザからの入力データの検証と、出力データの適切なエンコーディングを徹底します。 入力データを表示する前に、必ずデータの長さ、型、構文などが許可される範囲内であるかどうかを検証します。 また、出力データは HTML、XML などの出力フォーマットに従って適切にエンコードします。