エスケープなしのユーザー入力出力（XSS）

深刻度: 高 CWE-79 OWASP A03:2021 Injection rule: xss

なぜ危険か

入力をそのまま出力すると、攻撃者のスクリプトが訪問者のブラウザで実行され、セッションの窃取や画面の改ざんにつながります。エスケープすると特殊文字は無害な文字になります。

✕ 脆弱なコード

echo 'Hello ' . $_GET['name'];

✓ 安全なコード

echo 'Hello ' . htmlspecialchars($_GET['name'] ?? '', ENT_QUOTES, 'UTF-8');

出力を htmlspecialchars($value, ENT_QUOTES, 'UTF-8') で囲みましょう。

コードを検査する

ファイルを貼り付けると、このルールに該当する行をすべて示します。