する質問をすることでしか得られない、回答やアドバイスがある。9PHPで作成されたページで、XSS対策としてhtmlspecialcharsによるエスケープ処理はおこなったのですが、脆弱性チェックのソフトにかけたところ、それだけだとjavascript:alert()のようなケースに対応できてないようで、少し悩んでいます。チェックの結果、以下のような部分で警告が出てきます。href="xxxx.php?sid=javascript:alert(1);&year=2019&mon=4">みなさまはどのように処理をされているのでしょうか?ひとつひとつのパラメータに対して正規表現などで細かくチェックをしていくしかないでしょうか。何か定番的な解決方法があるのであればご教示いただければと思っております。attachmentクリップ1気になる質問をクリップするクリップした質問は、後からいつでもマイページで確認できます。クリップした質問に回答があった際、通知やメールを受け取ることができます。自分も答えを知りたい質問者以外のユーザにも役立つ評価が高い質問は、TOPページの「注目」タブのフィードに表示されやすくなります。質問の評価を上げたことを取り消します低評価-評価を下げられる数の上限に達しました評価を下げることができません1日5回まで評価を下げられます1日に1ユーザに対して2回まで評価を下げられます質問の評価を下げるteratailでは下記のような質問を「具体的に困っていることがない質問」、「サイトポリシーに違反する質問」と定義し、推奨していません。評価が下がると、TOPページの「アクティブ」「注目」タブのフィードに表示されにくくなります。コメントをしてください。送信する質問の評価を下げる機能の利用条件この機能を利用するためには、以下の事項を行う必要があります。チェックの結果、以下のような部分で警告が出てきます。href="xxxx.php?sid=javascript:alert(1);&year=2019&mon=4">この時のPHPのソースの提示をお願いします。チェックの結果、以下のような部分で警告が出てきます。この時のPHPのソースの提示をお願いします。16:01ありがとうございます!例に挙げた部分は抜粋すると下記のような感じです。URLパラメータを取得してカレンダーが生成されるページです。数種類あるセミナーごとにスケジュールが切り替わるようになっていて、GETで取得している「sid」がセミナーごとのID(アルファベット+数値)になっています。"UTF-8");}よろしくお願いいたします。例に挙げた部分は抜粋すると下記のような感じです。URLパラメータを取得してカレンダーが生成されるページです。数種類あるセミナーごとにスケジュールが切り替わるようになっていて、GETで取得している「sid」がセミナーごとのID(アルファベット+数値)になっています。16:13ご回答ありがとうございます。実際にchromeで試したところはアラートは出ません。脆弱性チェックのソフトでドバドバーとこのあたりの警告が出てきて怖くなってしまったので対策が講じられるものなら、講じておきたいと思った次第です。ご回答ありがとうございます。実際にchromeで試したところはアラートは出ません。対策が講じられるものなら、講じておきたいと思った次第です。件sort評価が高い順sort新着順sort古い順linkcheckベストアンサー+2URL部分になるのでクエリストリングの値部分にurlencode()をかけます。評価が高い回答ほどページの上位に表示されます。remove低評価0回答の評価を下げる下記のような回答は推奨されていません。評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。16:07ありがとうございます!恥ずかしながらurlencodeは初めて知りました。ぴったりな回答でした。恥ずかしながらurlencodeは初めて知りました。ぴったりな回答でした。16:42ありがとうございます。そちらはとても気を付けているつもりですが、再度見直してみます!ありがとうございます。そちらはとても気を付けているつもりですが、再度見直してみます!キャンセル完了するlink+2すでにクローズされてますが参考までエスケープ処理って、本質的には「あるシステム系から別のシステム系にデータを渡す際に、渡す先で正しく理解できるデータとして渡す」ことを目的にしています。脆弱性の有無というより、正しく動作させるために必要な処理なので、ひとつひとつ正しく渡せる方法を選択する必要があります。して正しく理解されるためにurlencode()を使用する。不正アクセス対策という観点だけでなく、本質からチェックするとアプリケーションとしても正しい動作を行うようになるので、ワリと重要な視点だと思います。評価が高い回答ほどページの上位に表示されます。remove低評価0回答の評価を下げる下記のような回答は推奨されていません。評価を下げる際はその理由を明確に伝え、適切な回答に修正してもらいましょう。17:07アドバイスありがとうございます。おっしゃる通りだと思います。次のステップとして、きちんと処理をきれいにまとめていきたいと思います。アドバイスありがとうございます。おっしゃる通りだと思います。次のステップとして、きちんと処理をきれいにまとめていきたいと思います。解決済WYSIWYGで入力されたHTMLデータを必要に応じてエスケープ処理する。頂いたご意見への回答は行っておりません。