XSSの対策での「&」エスケープの意味が理解できていません。

Question

クロスサイトスクリプティングの対策として、特殊文字（<>,',",&）をエスケープすると思うのですが、「&」をエスケープする理由が分かりません。ご教授いただけないでしょうか。
',"は属性値を意図しない終端にさせないと認識しています。
<>は、スクリプトタグを無効にすると認識しています。

Answer 1

エスケープ処理の本来の意味を考えた方が良いです。

参考：エスケープの必要な処理とは？

文字列が異なるルールで処理されるシステム間を連結する場合に、エスケープ処理は必要になります。
つまり、「渡された側の処理として特殊な意味を持つ文字列を無効化(エスケープ)する」という事です。

html の表現において、「&」は「特殊文字列を表す」という特殊な意味を持ちます。

本質問の状況では「特別な意味を持つ文字列を適切に処理(エスケープした結果) XSS を排除できる」と考えるのが適切です。
雑な言い方をしてしまうと、エスケープ処理の「副次効果」として、XSS 対策となる。ってことです。

Comments

[sunabe]

ご回答ありがとうございます。理解できました。
>エスケープ処理の「副次効果」として
とても分かりやすかったです。

Answer 2

&をエスケープする機能がないと、ブラウザ画面に<などと表示させることが出来ません（<)。

Comments

[sunabe]

ご回答ありがとうございます。理解できました。XSSの対策としては直接関係ないと理解しました。