cakephp3のエスケープ処理とXSS対策

Question

cakephp3ではDB登録の際のエスケープ処理とXSS対策が自動で入っている気がするのですが、認識としてあっていますでしょうか。

特に意識して作っていなかったため、もしそのあたりわかる方いれば教えていただきたいです。

Answer 1

SQLインジェクションはデフォルトで防いでます。
https://book.cakephp.org/3.0/ja/orm/query-builder.html#id19

XSS対策はデフォルトViewを使っている場合は出来ていないので h($hoge) のように出力時にエスケープする必要があります。
https://book.cakephp.org/3.0/ja/core-libraries/global-constants-and-functions.html

Comments

[Discord]

ありがとうございます！