常連

## テーマ、知りたいこと
XSS 対策を実装しているのですが、いつエスケープしたらいいのかいろいろなご意見があるようで疑問です。
使用言語は、HTML、CSS、JavaScript、PHP、MySQLです。

## 背景、状況
掲示板のコメントを例にします。

保存の際は JavaScript の `fetch()` を使い、PHP の `PDO()` を介し、MySQL でデータベースに保存しています。

逆に出力は PHP から `{"id": 1, "comment": "<p>hello</p>"}` のような JSON を `echo` し、 JavaScript で HTML を生成します。

この流れにあたって XSS 対策のタイミングは下記などいくつか考えられそうです。


### タイミング
##### ➀ データベースに保存する際にエスケープした値にしておく
```PHP
<?php
$data = ["comment" => "<p>hello</p>"];
$data["comment"] = htmlspecialchars($data["comment"], ENT_QUOTES, "UTF-8"); // ➀はここでエスケープ
$stmt = $pdo->prepare("INSERT INTO comment_table (comment) VALUES (:comment)");
$stmt->bindParam(":comment", $data["comment"], PDO::PARAM_STR);
$stmt->execute();
```

##### ➁ データベースには素のまま保存し、PHP から `echo` する際にエスケープする
```PHP
$stmt = $pdo->query("SELECT * FROM comment_table WHERE id = 1"); 
$data = $stmt->fetch(PDO::FETCH_ASSOC); // この data は ["id" => 1, "comment" => "<p>hello</p>"] のような値 
$data["comment"] = htmlspecialchars($data["comment"], ENT_QUOTES, "UTF-8"); // ➁はここでエスケープ
echo json_encode($data);
```

##### ③ データベースには素のまま保存し、PHP から `echo` する際も素のまま `echo` し、JSON を HTML として描画する際に JavaScript でエスケープする
```JavaScript
fetch('getComment.php')
    .then(response => response.json())
    .then(data => { // この data は {"id": 1, "comment": "<p>hello</p>"} のような値 
        addNewComment(data);
    })
    .catch(error => {
    });

function addNewComment(data) {
    const ulElement = document.querySelector('.comment-list');
    const liElement = document.createElement('li');
    liElement.className = 'comment';
    liElement.textContent = escapeHtml(data); // ➂はここでエスケープ
    ulElement.appendChild(liElement);
}

function escapeHtml(unsafe) {
    return unsafe
         .replace(/&/g, "&amp;")
         .replace(/</g, "&lt;")
         .replace(/>/g, "&gt;")
         .replace(/"/g, "&quot;")
         .replace(/'/g, "&#039;");
}
```

いつエスケープするのがセオリーというか、安全というか、実装しやすいというか…
一体どうしたらいいのでしょうか？



XSS対策のエスケープ、いつする派？

### 実現したいこと
javascriptの変数内に含まれる<script>処理</script>を丸ごと削除したい。


### 該当のソースコード

```javascript
var html = '
 <div>テキスト<div>
 <noscript>
 //処理
 </noscript>
 <script>
 //処理
 </script>';
```

上記を
html = 'テキスト';
の形にしようとしてるのですが、色々調べてみても"タグのみ"を消すものばかりで、中身ごと削除する方法が見つからず困っています。

この場合はどういったメソッドで削除を行うのがベターでしょうか？




javascript内の処理で<script>タグを中身ごと削除したい

### 実現したいこと
```php
$str ='<div class="swiper">文字列</div>
 <script>
  var swiper = new Swiper('.swiper', {
　　//オプション
   });
 </script>
';
//$strに処理を加える
```

上記の処理を行う前段階の格納するところで
syntax error, unexpected '--' (T_DEC), expecting ',' or ')'

のエラーが発生してしまっていて、htmlspecialchars()を使ってもみたのですが、そもそも文字列を格納するのがうまくいってないのでこの手を使ってもだめでした

こういった場合のエスケープではどういった手法で行うのがベターなのでしょうか？


PHPの変数の中に「'」シングルクォート,「"」ダブルクォートを格納(エスケープ)する方法

Python3系で開発しております。

文字列 `\\.\hogehoge` があるとします。（`print()`等で出力するとバックスラッシュがエスケープされて `\.\hogehoge` となる）

この文字列を `\\.\hogehoge` から `\.\hogehoge` となるように文字列の置換をしたいのですが、 `replace()` を使ってしまうとそのままでは文字列を囲う `'` や `"` のエスケープをバックスラッシュがしてしまい、実現したい置換ができません。

何か良い方法がございましたら教えていただきたく存じます。

よろしくお願いいたします。

## 追記
ご指摘がありましたので追記いたします。
> 回答者が実行できるコードを貼ってください

```Python
STRING = '\\.\hogehoge'

# 出力 '\\.\hogehoge'
print(repr(STRING))
# 出力 '\.\hogehoge' 本当は '\.\hogehoge' にしたい
print(repr(STRING.replace('\\', '\')))
```

> どういうルールでですか?

上記コード内のコメントに記載しております。

Pythonでの文字列置換でバックスラッシュを扱いたい

###前提・実現したいこと
コマンドライン引数にコピー元ファイル名とコピー先ファイル名を指定し、ファイルをコピーするJavaプログラムを作成しました。プログラムを起動する時は、
java FileCopy C:\\Java2017\\originalBinary.ods C:\\Java2017\\destinationBinary.ods
のように第一引数にコピー元ファイル名、第二引数にコピー先名を指定して起動しています。これを
java FileCopy C:\Java2017\originalBinary.ods C:\Java2017\destinationBinary.ods
のようにファイル名の\を２つ重ねずにプログラムが起動するように変更したいです。
現在このプログラムを起動するときは、ファイルの場所をコピーしてそれから手動で\を二つ重ねていますが、この手間を省略できればと考えています。



###該当のソースコード
```Java
コード
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.IOException;

public class FileCopy {
	public static void main(String[] args) {
		String originalFile = args[0]; //この部分に変更を加える必要があると思われすが、
		String destinationFile = args[1]; //解決策が思い浮かびません。
		try (FileInputStream fis = new FileInputStream(originalFile);
				FileOutputStream fos = new FileOutputStream(destinationFile);) {
			int i = fis.read();
			while (i != -1) {
				fos.write(i);
				i = fis.read();
			}
			fos.flush();
			fos.close();
			fis.close();
		} catch (IOException e) {
			e.printStackTrace();
		}

	}
}

javaの文字列で\(バックスラッシュ)そのものを\\のように\を２つ重ねる以外の方法で表現したいです。

### 前提・実現したいこと

C++の std::regex において、任意の文字列に含まれる「文字としての(バックスラッシュ)」を置換することは可能でしょうか？
※任意の文字列はプログラム外から与える事を想定しているため、任意の文字列には「\」１文字が存在することがあります。

### 欲しい結果
プログラムの外部から文字列を指定し、その文字列に含まれる「\」を「\」に置換し出力したいと思っています。

例えば、コンソール上で次のようにすると、

```text
user> app.exe あい\うえお\かきくけこ
```
次の結果を得たいと思っています。
```text
あい\うえお\かきくけこ
```

### 試したこと
次の３つの方法で試しました。

0. バックスラッシュをバックスラッシュでエスケープして実施（PatternA1）
0. バックスラッシュをバックスラッシュでエスケープして実施（PatternA2）
0. 生文字リテラルを用いて実施（PatternB）

また、対象とした文字列は次の３つです。
0. 表層 
0. 予想予
0. あい\うえお\かきくけこ

以下にソースコードを示します。

```C++
#include <string>
#include <regex>
#include <iostream>

void dispResultPatternA1(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex("\"), "\\") << std::endl;
}
void dispResultPatternA2(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex("\\"), "\\") << std::endl;
}
void dispResultPatternB(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex(R"(\)"), "\\") << std::endl;
}
int main(int argc, char* argv[]) {
	if (argc != 4) { return 1; }

	std::string s1_Before = argv[1];//第一引数　...　あい\うえお\かきくけこ
	std::string s2_Before = argv[2];//第二引数　...　表層
	std::string s3_Before = argv[3];//第三引数　...　予想予

	std::cout << " ● PatternA1" << std::endl;
	try {
		dispResultPatternA1(s1_Before);
		dispResultPatternA1(s2_Before);
		dispResultPatternA1(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	std::cout << " ● PatternA2" << std::endl;
	try {
		dispResultPatternA2(s1_Before);
		dispResultPatternA2(s2_Before);
		dispResultPatternA2(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	std::cout << " ● PatternB" << std::endl;
	try {
		dispResultPatternB(s1_Before);
		dispResultPatternB(s2_Before);
		dispResultPatternB(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	getchar();
	return 0;
}
```

その結果次の様になりました。
そもそもPatternAでうまくいくと思ってましたがエラーが出てしまいます。そこで、エスケープのエスケープで置換したらいいのでは？と思いPatternA2で試してみました。すると、第一引数の文字列は欲しい結果となったのですが、他の特定の文字（ここでは、「表」「予」）も置換の対象となってしまいました。他に方法はないか調べていると、「生文字リテラル」なるものがあり、それで試してみると（PatternB）、PatternA2と同じ結果となりました。

```text
 ● PatternA1
        regex_error(error_escape): The expression contained an invalid escaped character, or a trailing escape.
 ● PatternA2
        あい\うえお\かきくけこ  ->  あい\うえお\かきくけこ
        表層  ->  表\層
        予想予  ->  予\想予\
 ● PatternB
        あい\うえお\かきくけこ  ->  あい\うえお\かきくけこ
        表層  ->  表\層
        予想予  ->  予\想予\
```

C++ の regex において、文字列としての(バックスラッシュ)を置換したい。

``str.replace``の第一引数に「スラッシュ」を指定するにはどうすれば良いでしょうか。
以下コードの場合、``testValue``に``http://``が含まれていた場合、先頭からその箇所を削除し、値を格納したいと考えています。
``testValue = testValue.replace( /http:///g , "" )``
試しに「スラッシュ」をエスケープする形で、``/http://///g ``のような形で指定してみたのですが、エラーとなってしまいました。
以下は、参考にした記事になります。
[参考サイトリンクです](https://lab.syncer.jp/Web/JavaScript/Snippet/4/)
こちらを解決する方法がありましたら、ご助言頂けましたら幸いです。

正規表現におけるスラッシュのエスケープについて

### 実現したいこと

PHPでのデータベース検索をbindValueとLIKEを使用して実現したい

### 前提
Eclipse環境のPHPでWebアプリを作っています。
datetime型のカラムからLIKEで検索をかけた際、構文エラーが発生します。
下記はEclipseの変数ウィンドウで＄sqlに入っている文字列です。
「SELECT count(*) AS カウント FROM :table WHERE inspectiondate LIKE :testdate ;」

### 発生している問題・エラーメッセージ

```
Syntax error or access violation: 1064 You have an error in your SQL syntax; check the manual that corresponds to your MariaDB server version for the right syntax to use near ''テーブル名' WHERE inspectiondate LIKE '2023-03-14%'' at line 1

```

### 該当のソースコード

```ここに言語名を入力
//$testdateには’2023-03-14’が入っています。

 try{
     $db=getDb();
     $sql="SELECT count(*) AS カウント FROM :table WHERE inspectiondate LIKE :testdate;";
     $stt = $db->prepare($sql);
     $stt->bindValue(':table',$tablename,PDO::PARAM_STR);
     $testdate=e($testdate);   　→ここでhtmlspecialcharsを使用したエスケープ処理の関数にとぶ。
     $stt->bindValue(':testdate ',"{$testdate}%",PDO::PARAM_STR);
     $stt->execute();　　　⇒ここでエラーになり、下記のエラーキャッチにとびます。

      if ($row = $stt->fetch(PDO::FETCH_ASSOC)) {
          if ($row['カウント'] != 0) { 
             $coment='同日に測定を行っています。';
          }
      }                
      $db = NULL;     
           
} catch (PDOException $e) {
     die('エラーメッセージ：' . $e->getMessage());
}
```

### 試したこと
下記を２点を試しました。
（１）
コマンドプロンプトにて
 SELECT count(*) AS カウント FROM テーブル名 WHERE inspectiondate LIKE '2023-03-14%';
でアクセスすると結果が取得可能。
（２）
問題の部分のbindValueを
$stt->bindValue(':testdate', addcslashes($testdate,'\-%'),PDO::PARAM_STR);
に書き換えて実行。上記と同様の構文エラーが表示されます。

### 補足情報（FW/ツールのバージョンなど）
PHP 7.4.33
Apache/2.4.54 (Win64)
Eclipse　Version: 2022-12 (4.26)
Windows 11 Pro（2022年10月にWindows10よりバージョンアップしました）

プログラムの初心者で、PHPを勉強しております。
お手数おかけしますが、ご教示よろしくお願い致します。
