新生鳩丸掲示板♯

※広告や宣伝の書き込みはご遠慮ください。

題名 :

名前 :

本文 : >>それだけではまずいです。以下の"それマルチバイトで"のところ参照。 >　文字符号化方式についてはここでは議論していませんが、それは別途注意すべきでしょうね。属性値に限らず、XSSに限らず発生する問題です。 > >>data: スキーマも危険です。 >　それは「など」に含んでいるつもりです。tel: や mailto: なども場合によっては問題がありますし、危険なものを列挙する方向では考えたくないですね。その後ろに書いてあるように、http: か https: 以外は入ってこないようにした方が良いという考えです。 > >>ip (範囲)をチェックすれば良いと思います。 >　同組織内に攻撃者がいたら防げません。携帯サイトならばそれなりに効果があると思いますが、PCサイトでは危険ではないでしょうか。