質問をすることでしか得られない、回答やアドバイスがある。

15分調べてもわからないことは、質問しよう!

新規登録して質問してみよう
ただいま回答率
85.47%
jqGrid

jqGridとは、jQqueryのプラグインであり、web上に表データの表示・操作を行う事が可能になります

JavaScript

JavaScriptは、プログラミング言語のひとつです。ネットスケープコミュニケーションズで開発されました。 開発当初はLiveScriptと呼ばれていましたが、業務提携していたサン・マイクロシステムズが開発したJavaが脚光を浴びていたことから、JavaScriptと改名されました。 動きのあるWebページを作ることを目的に開発されたもので、主要なWebブラウザのほとんどに搭載されています。

Q&A

0回答

4622閲覧

jqGridでの正しいXSS対策の方法を教えてください

YaMuRo765

総合スコア15

jqGrid

jqGridとは、jQqueryのプラグインであり、web上に表データの表示・操作を行う事が可能になります

JavaScript

JavaScriptは、プログラミング言語のひとつです。ネットスケープコミュニケーションズで開発されました。 開発当初はLiveScriptと呼ばれていましたが、業務提携していたサン・マイクロシステムズが開発したJavaが脚光を浴びていたことから、JavaScriptと改名されました。 動きのあるWebページを作ることを目的に開発されたもので、主要なWebブラウザのほとんどに搭載されています。

0グッド

0クリップ

投稿2016/12/07 10:50

jqGrid(&Rails)を用いて、DBに対しての情報登録・取得を行っています

XSS対策を行う為、以下のサイトを参考に
autoencodeオプション=true を設定しました。
jqGridのwiki「Options」

しかし、こちらのオプションではエスケープが望ましくないタイミングで行われてしまいます。

希望しているのは、DBから取得した値をjqGridに表示する段階のみエスケープする事です。
DBに登録する段階ではエスケープして欲しくなかったのですが、
上記オプションでは登録時もエスケープしてしまいます。

結果、以下の事象が発生してしまいます。

  • 入力欄で入力した値とは異なる(エスケープ処理が施された)値が登録されてしまう
  • 登録時点でエスケープをされてしまっている為、DBから取得しなおして表示するとエスケープ処理の文字列がそのまま表示されてしまう(当たり前ですが……)

(例)

  • 入力値=「test<font color="red">red</font>
  • DBに登録される値=「test<font color="red">red</font>」
  • ページ描写時の表示=「test<font color="red">red</font>」

.
【お尋ねしたい事】jqGridで、表示する段階のみエスケープするには、どうすれば良いでしょうか。
(autoencodeオプションの使い方が間違っているのでしょうか。または、こちらのオプションでは絶対望み通りにはならず、どこか別の箇所をカスタマイズしなければならないのでしょうか。)

※ちなみに、jqGridを埋め込んでいるJS内でのみ対処したい為、現状サーバサイドでの対処は考えていません…

.
何卒、よろしく御願いいたします。

気になる質問をクリップする

クリップした質問は、後からいつでもMYページで確認できます。

またクリップした質問に回答があった際、通知やメールを受け取ることができます。

バッドをするには、ログインかつ

こちらの条件を満たす必要があります。

guest

あなたの回答

tips

太字

斜体

打ち消し線

見出し

引用テキストの挿入

コードの挿入

リンクの挿入

リストの挿入

番号リストの挿入

表の挿入

水平線の挿入

プレビュー

まだ回答がついていません

会員登録して回答してみよう

アカウントをお持ちの方は

15分調べてもわからないことは
teratailで質問しよう!

ただいまの回答率
85.47%

質問をまとめることで
思考を整理して素早く解決

テンプレート機能で
簡単に質問をまとめる

質問する

関連した質問