モバイル向けWEBサイト作ってるんですが、やはりセキュリティ対策は講じないといけません。XSS,SQLインジェクション対策としてサニタイズをしようかと思います。(まぁモバイル機上ではスクリプト動くことはあんまりないと思うんですが、念のため。)まず、クロスサイトスクリプティング対策として、スクリプトに使われそうな文字をエスケープするという方法をとってます。関数を使おうと思ったんですが、そんな関数無いって怒られます。オリジナルの関数なんですね。標準で入ってるのかと思ってました。フォーム入力やDBから取得のタイミングでサニタイズします。参考:WEBデザイナーの為のXSS(クロスサイトスクリプティング)入門[to-R]次にSQLインジェクション対策です。こちらも基本的にはサイニタイズで対処することにします。区切って別クエリを走らしてDBの情報を盗み出すみたいなことはできません。クエリつながれたりしたら終わりです。いうことで、MySQLの場合もちゃんとしたサニタイズをしないといけません。場合、各DB毎に専用にエスケープ関数が用意されています。(一部用意されてないRDBMSもあるようですが。この関数はDB接続がされてないと使えないので実際にクエリに値を埋め込むときに使ったほうがいいようですね。使うと2重エスケープで意味がなくなるので、ここも注意が必要です。マジッククォート機能が有効の場合は、これを無効にするかエスケープを一旦取り除いてから処理したらいいようです。この辺の情報は、MySQLとPHPにおけるSQLインジェクション対策についてで詳しく説明されてました。使わないと意味が無いようです。NAMESは使わないほうがいいで書いてます。MySQLクエリはおかしくなるとも関連してると思います。使ってやるのがベータですが、それができないサーバの場合は、別文字コードに変換して処理してやるのがいいでしょう。使うと文字化けの問題も発生するので。拡張モジュールやクラス使わないといけないので、いまいち使おうという気になりません。いうことで、XSS対策とSQLインジェクション対策の場合のDBアクセスを書いてみました。使えないときでShift-JISの場合は、別文字コードに変換するのがいい。クエリが参考になります。情シスで何でも屋の三流プログラマのコーディング、サーバ管理、PC生活関係のメモ書き。このメモが忘れっぽい自分とググってきた技術者の役に立ってくれれば幸いです。29検索カテゴリ全体Linuxサーバがらみ.Net開発PHP開発C/C++開発JavaSQLツール思ったこととかニュースとか。メッセージを入力してください。