情報セキュリティマネジメント試験基礎・応用
条件を読む・根拠を説明する
保存した投稿の表示
条件を整理し、答えを選んでから解き方を確認しましょう。
投稿本文をDBに保存し、後でHTMLへそのまま埋め込んでいる。閲覧者のブラウザで投稿由来のコードが実行された。表示時の対策はどれか。
答え・解き方を読む
出力先の文脈に応じて文字を適切にエスケープ
考える順序
- 1入力が保存後にHTMLとして解釈されている
- 2ブラウザへの出力でデータと構文を区別
- 3HTML等の出力文脈に対応した処理を使う
選択肢ごとの理由
- 正解 · 出力先の文脈に応じて文字を適切にエスケープ
入力が保存後にHTMLとして解釈されている。ブラウザへの出力でデータと構文を区別。HTML等の出力文脈に対応した処理を使う。
- 比較 · DB検索だけをプレースホルダ化
SQLへの混入対策でありHTML出力の混入は残ります。
- 比較 · ログイン後にセッションIDだけを更新
セッション固定化への対策だけでは投稿の実行を防げません。
- 比較 · 投稿テーブルに外部キーを追加
参照整合性はHTMLの安全な出力とは別です。