呼び出している部分を以下に示す。get_upload_file_name($orgfile);ファイルダウンロード時の対策Content-Typeを正しく設定する。画像の場合は、マジックバイトを確認する。必要に応じてContent-Dispositionヘッダを設定する。・Content-Typeを正しく設定するPDFファイルダウンロードによるXSS脆弱性のサンプルは、Content-Typeの間違いが原因だった。Content-Typeを正しく指定すれば脆弱性はなくなる。Content-Typeを正しく指定することはIEに限らずすべてのブラウザで必要である。ダウンロードスクリプト経由ではなくファイルを公開領域に保存する場合は、Webサーバの設定の確認をする。いう設定ファイルにContent-Typeの設定が保存されている。自分で設定した場合は、ブラウザ側で認識できるContent-Typeであることをチェックするすべきである。・画像の場合はマジックバイトを確認するダウンロードスクリプトを用いてファイルをダウンロードする際には、ダウンロード時にもマジックバイトを確認するようにすれば、なんらかの原因で不正なファイルがWebサーバに紛れ込んでいても確実な対策が可能となる。利用するダウンロードスクリプトの改良版を示す。attachment」を指定する方法がある。「application/octet-stream」にするとファイルタイプ上も「ダウンロードすべきファイル」とう意味になる。filename="sample.pdf"・その他の対策ここまでの対策は脆弱性を防止するための必要最小限のチェックである。マジックバイトのチェックのみでは利用者のブラウザで放蕩に表示できるかまでは確認できない。このため、Webアプリケーションの仕様策定時に以下のようなチェックを行うかどうか検討するとよい。ブラウザにとって未知のものとなり、XSSの可能性がある。この問題の対応は容易ではない。確実な対処として以下の方法がある。コンテンツを配信するサーバのドメインを別にする。Content-Dispositionヘッダを付ける。上記の方法には副作用があるため、確実性は劣るものの副作用のない対処としては以下の方法があります。アプリケーションが想定したURLかどうかをチェックする。コンテンツの閲覧に必要なアプリケーションの導入を利用者に注意喚起する。テクノポップのカリスマ。