URLスキームのような記号が交じる文字列をDBに登録する際、エスケープする必要はあるのでしょうか？

Question

ユーザーがURLスキームを入力してDBに保存出来る想定です。

「http://」や、「moge-moge://hoge?abc=」
など、想定出来るスキームは多数あります。

このスキームですが、DBに登録する際は入力された値をそのまま保存していいものでしょうか？

もちろんXSS対策として下記の記号はバリデーションを掛けて弾く予定です。

「<」「>」「"」「'」「&」

ただ、それ以外「=」「?」「:」「/」などはそのまま登録すべきか、エスケープして登録すべきか迷っています。
こういった場合は一般的にどういう実装をするのでしょうか？
分かる方居ましたら教えていだきたいです。

Answer 1

本題ではありませんが、ある程度自由度を持たせるにしても、スキームはホワイトリスト管理すべきだと考えます。javascript:やtel:、about:やアプリケーション独自のスキームなど、不用意に通してしまえば何をされるかはわかりません。

そして、受け入れるスキームが決まれば、それに合わせてバリデーションをかけましょう。エスケープは出力の直前に行うのが鉄則ですので、DB保管の際にはDB用のエスケープ（もしくはバインドして値として通す）だけを行いましょう。

Comments

[tomuziso]

回答ありがとうございます。
そもそもフォームで自由入力出来る設計自体がマズイということですね・・・？

初歩的な話で申し訳ないのですが、
> DB保管の際にはDB用のエスケープ（もしくはバインドして値として通す）だけを行いましょう
のイメージが掴めないのですがどういったことでしょうか？

自分が考えていたエスケープの動作としては
フォームに入力→送信ボタン→バックエンド側でエスケープ→DBに登録→別の箇所でDBに登録された値を使用
という流れで、特殊文字は登録の段階で弾いておかないと、という考えだったのですが・・・

[maisumakun]

「別の箇所でDBに登録された値を使用」するにしても、使用する場面によって適切なエスケープの形は変わりえますので、DB保存段階でエスケープを行うのは適当ではありません。

[tomuziso]

返信ありがとうございます。
ということはDB保存段階では特殊記号はそのまま保存されるのが一般的ということでいいのでしょうか？
出力する際にエスケープ漏れがないように実装をしていく、ということなんですね。

[maisumakun]

はい、保存はそのまま行います。

[tomuziso]

なるほど、完全に自分の認識が間違っておりました。
ありがとうございました。勉強になりました。