新生鳩丸掲示板♯

> HTML5のa要素にはname属性はありません。

"Obsolete but conforming features"にいちおう含まれているので、「ありません」と言い切るのは微妙な感じがします。

http://dev.w3.org/html5/spec/single-page.html#obsolete-but-conforming-features

>> HTML5のa要素にはname属性はありません。

>"Obsolete but conforming features"にいちおう含まれているので、「ありません」と言い切るのは微妙な感じがします。

　いろいろな意味で微妙なところですね。

　「HTML5のa要素にはname属性はない」けれども、「a要素にname属性がついていてもいちおう適合はする」というような話ではありますが、この文脈だと確かに「一応適合する」という点を重視したほうが良いかもしれません。

「このコードに限定した話」かつ「攻撃さえ防げれば良く、不具合があっても良い」と想定した場合において、

単引用符(およびバックスラッシュ)をエスケープするだけだと、

「" onmouseover="alert(document.cookie)" onmousedown="」

という文字列でダメにならないでしょうか。

コード

https://gist.github.com/2583211

出力

<a name="#" onclick="alert('" onmouseover="alert(document.cookie)" onmousedown="')">

previous search word

</a>

escape2の結果をescapeに渡すのですね。失礼しました。