サニタイズについて質問です

Question

実現したいこと

クエリパラメータで渡ってきた文字を、テキストエリアの初期値として表示させたいです。
その際、<script></script>のようなXSSリスクのある文字もテキストエリアの中で表示させたいです。
下記のようなコードでXSSの危険がありますか？

<textarea><?php echo htmlentities($_GET["keyword"], ENT_QUOTES, "UTF-8"); ?></textarea>

もしやめた方がいいとかであれば、どのように対策すればよいでしょう。。
要件として、<script></script>のような危険な文字もテキストエリアに出力しておく必要があります。。

Comments

[m.ts10806]

そもそもtextareaの値に直接<script></script>を書いても実行されないのでは？
<textarea>
<script>
alert(1)
</script>
</textarea>

エンティティ変換すると&gt;script&gl;のようになりませんか？

[m.ts10806]

また本件、PHPそのものというよりセキュリティの問題に思います。
セキュリティー、XSS　などの質問タグを追加されたほうが良いです。

Answer 1

現状でXSS攻撃に対する適切な対策は行われており、問題はありません。

<textarea><?php echo htmlentities($_GET["keyword"], ENT_QUOTES, "UTF-8"); ?></textarea>

このコードは、htmlentities()関数を使用して、HTMLエンティティに変換された$_GET["keyword"]をテキストエリアに挿入します。ENT_QUOTESフラグを使用することで、シングルクォートとダブルクォートもエンコードされ、XSS攻撃を防ぐことができます。

Answer 2

もし気になるならHTML-ENTITIESの変換までやっておけばよいでしょう
むしろ$_GETを直接参照するなどはNGです

<form>
<input name="keyword">
<input type="submit" value="send">
</form>
<form>
<textarea><?=mb_convert_encoding(htmlentities(filter_input(INPUT_GET,'keyword'),ENT_QUOTES,'UTF-8'),'HTML-ENTITIES','UTF-8')?></textarea>

Answer 3

htmlentities($_GET["keyword"], ENT_QUOTES, "UTF-8")

上記でもテキストコンテキストに応じた適切なエスケープが行われるため、XSS 対策として十分ではありますが、過剰でもあります。

HTMLメタ文字をテキストコンテキストにおいてエスケープするための関数として htmlspecialchars が用意されています。

htmlspecialchars($_GET["keyword"], ENT_QUOTES, 'UTF-8')

PHPアプリケーションでは一般的に htmlspecialchars が用いられます。htmlentities を代わりに使ってしまうと意図が不明確になる可能性があるため htmlspecialchars を用いることをお勧めします。

下記のようなコードでXSSの危険がありますか？

上記どちらのコードでも XSS の危険はありません。安全です。

Comments

[arcxor]

余談ですが、今回の質問内容は「サニタイズ」とは言いません。

http://takagi-hiromitsu.jp/diary/20060115.html