ループ処理がある場合のXSS対策、htmlエスケープ処理の実装方法について

Question

XSS対策前は以下コードのように、
$resに値を代入して、htmlに出力していました。

XSS対策で、出力時にhtmlエスケープ処理をしたいのですが、
今回のようにループ処理がある場合、
どのような方法が良いのか分からず教えて頂ければ幸いです。

<?php
function h($str) {
return htmlspecialchars($str, ENT_QUOTES, 'UTF-8');
}//XSS対策で追加

$res = "";
$sql = "SELECT * FROM table1 WHERE Cusid=?";
$sth = $dbh -> prepare($sql);
$array = array($_SESSION['cusid']);
$sth -> execute($array);
$result = $sth->fetchall(PDO::FETCH_ASSOC);
$sth = null;
$res .= "<table>";
foreach($result as $row){
$title = $row['Title'];
$price = $row['Price'];
$res .= <<<eof
<tr><td>
<form method='post'>
<input type='text' name='title' value='{$title}'>
<input type='number' name='price' value='{$price}'>
</tr></td>
eof;
}
$res .= "</table>";
}
?>

<section class="section-contents">
<div class="section-inner">
<?=$res?>
</div>
</section>

Answer 1

HTMLに入れ込むところで処理しましょう。

$escaped_title = h($title);
$escaped_price = h($price);
$res .= <<<eof
<tr><td>
<form method='post'>
<input type='text' name='title' value='$escaped_title'>
<input type='number' name='price' value='$escaped_price'>
</tr></td>
eof;

Comments

[退会済みユーザー]

ご回答頂きありがとうございます。

頂いた内容は正しいと思っておりますが、
一点、学習のため、宜しければアドバイス頂ければ幸いです。

「エスケープは必ず、出力を行うその時点で行います」との文言をよく見受けられますが、
ご参考例は、出力(<?=$res?>)の1つ手前の処理という感覚がします。
この感覚は誤りでしょうか。

どうぞよろしくお願い致します。

[maisumakun]

> この感覚は誤りでしょうか。

HTMLに混ぜ込んでしまった後に、文字列だけエスケープするのは不可能です。字義通りに解釈するのではなく、「何のために」それを実行するのかを考えてください。

[maisumakun]

（なお、実践的には、forなどにも対応したテンプレートエンジンを使う、というのが妥当です）

[退会済みユーザー]

お忙しい中、教えて頂き誠にありがとうございました。
参考にいたします。