実体参照と文字参照
2007年4月17日(火曜日)
実体参照と文字参照
「まだまだあるクロスサイト・スクリプティング攻撃法 (itpro.nikkeibp.co.jp)」。第三回ですね。
<P style="{ color: expression('blue') }"> /* 実体参照 */
それも実体参照ではありませんね……。それは文字参照ではありますが、文字実体参照ではなく数値文字参照のほうです。
実体参照というのは実体宣言で定義した実体を参照しているから実体参照と呼ばれるのです。符号化文字集合のコードポイントを直接指定する数値文字参照は、実体参照ではありません。ちゃんと使い分けたいですね。
※XML の場合は & などはいちいち宣言しなくても使えることになっているのですが、それも "Predefined" という扱いですから……。
※仕様の "24 Character entity references in HTML 4 (www.w3.org)" を読むと実体宣言の中に数値文字参照が出現している様などが見られるので、そう間違えたりしなくなると思いますが、Web のプロでない人にそこまで求めるのは酷かな……。
- 「実体参照と文字参照」へのコメント (3件)
関連する話題: HTML / セキュリティ / 狙われるWebアプリケーション / ITpro
- 前(古い): 私物PCを調査しようとする会社
- 次(新しい): Smarty のいろいろなところで任意の PHP コマンド