常連

## テーマ、知りたいこと
XSS 対策を実装しているのですが、いつエスケープしたらいいのかいろいろなご意見があるようで疑問です。
使用言語は、HTML、CSS、JavaScript、PHP、MySQLです。

## 背景、状況
掲示板のコメントを例にします。

保存の際は JavaScript の `fetch()` を使い、PHP の `PDO()` を介し、MySQL でデータベースに保存しています。

逆に出力は PHP から `{"id": 1, "comment": "<p>hello</p>"}` のような JSON を `echo` し、 JavaScript で HTML を生成します。

この流れにあたって XSS 対策のタイミングは下記などいくつか考えられそうです。


### タイミング
##### ➀ データベースに保存する際にエスケープした値にしておく
```PHP
<?php
$data = ["comment" => "<p>hello</p>"];
$data["comment"] = htmlspecialchars($data["comment"], ENT_QUOTES, "UTF-8"); // ➀はここでエスケープ
$stmt = $pdo->prepare("INSERT INTO comment_table (comment) VALUES (:comment)");
$stmt->bindParam(":comment", $data["comment"], PDO::PARAM_STR);
$stmt->execute();
```

##### ➁ データベースには素のまま保存し、PHP から `echo` する際にエスケープする
```PHP
$stmt = $pdo->query("SELECT * FROM comment_table WHERE id = 1"); 
$data = $stmt->fetch(PDO::FETCH_ASSOC); // この data は ["id" => 1, "comment" => "<p>hello</p>"] のような値 
$data["comment"] = htmlspecialchars($data["comment"], ENT_QUOTES, "UTF-8"); // ➁はここでエスケープ
echo json_encode($data);
```

##### ③ データベースには素のまま保存し、PHP から `echo` する際も素のまま `echo` し、JSON を HTML として描画する際に JavaScript でエスケープする
```JavaScript
fetch('getComment.php')
    .then(response => response.json())
    .then(data => { // この data は {"id": 1, "comment": "<p>hello</p>"} のような値 
        addNewComment(data);
    })
    .catch(error => {
    });

function addNewComment(data) {
    const ulElement = document.querySelector('.comment-list');
    const liElement = document.createElement('li');
    liElement.className = 'comment';
    liElement.textContent = escapeHtml(data); // ➂はここでエスケープ
    ulElement.appendChild(liElement);
}

function escapeHtml(unsafe) {
    return unsafe
         .replace(/&/g, "&amp;")
         .replace(/</g, "&lt;")
         .replace(/>/g, "&gt;")
         .replace(/"/g, "&quot;")
         .replace(/'/g, "&#039;");
}
```

いつエスケープするのがセオリーというか、安全というか、実装しやすいというか…
一体どうしたらいいのでしょうか？



XSS対策のエスケープ、いつする派？

### 実現したいこと
タイトルの通りで、配列の中身にhtmlタグが複数入ってる変数をjson_encodeしてDBに入れた後にjson_decodeして配列でhtmlタグとして再度使用したい

### 発生している問題・分からないこと
encodeされたものがDBに入り、配列として使うことはできるのですが、エスケープされたhtmlタグや特殊文字がdecodeしても変わりません



### 該当のソースコード

```php
$arr = [];
$arr['key'] = '<table class="class"></table>';
$encode = json_encode($arr,JSON_HEX_TAG|JSON_HEX_QUOT|JSON_HEX_AMP|JSON_HEX_APOS|JSON_UNESCAPED_UNICODE);

//↓$encodeをDBに入れた後

$foo = {"key":"u003Ctable class=u0022classu0022u003Eu003C/tableu003E"}

$decode = json_decode($foo,true);
echo $decode['key'];

//結果下記のようにそのまま出てしまう↓
u003Ctable class=u0022classu0022u003Eu003C/tableu003E
```

### 試したこと・調べたこと
- [x] teratailやGoogle等で検索した
- [x] ソースコードを自分なりに変更した
- [ ] 知人に聞いた
- [ ] その他

##### 上記の詳細・結果
同じことをやろうとしてる参考記述が探してもありませんでした

### 補足
特になし

json_encodeしたhtmlタグをjson_decodeで戻したい

Python3系で開発しております。

文字列 `\\.\hogehoge` があるとします。（`print()`等で出力するとバックスラッシュがエスケープされて `\.\hogehoge` となる）

この文字列を `\\.\hogehoge` から `\.\hogehoge` となるように文字列の置換をしたいのですが、 `replace()` を使ってしまうとそのままでは文字列を囲う `'` や `"` のエスケープをバックスラッシュがしてしまい、実現したい置換ができません。

何か良い方法がございましたら教えていただきたく存じます。

よろしくお願いいたします。

## 追記
ご指摘がありましたので追記いたします。
> 回答者が実行できるコードを貼ってください

```Python
STRING = '\\.\hogehoge'

# 出力 '\\.\hogehoge'
print(repr(STRING))
# 出力 '\.\hogehoge' 本当は '\.\hogehoge' にしたい
print(repr(STRING.replace('\\', '\')))
```

> どういうルールでですか?

上記コード内のコメントに記載しております。

Pythonでの文字列置換でバックスラッシュを扱いたい

###前提・実現したいこと
コマンドライン引数にコピー元ファイル名とコピー先ファイル名を指定し、ファイルをコピーするJavaプログラムを作成しました。プログラムを起動する時は、
java FileCopy C:\\Java2017\\originalBinary.ods C:\\Java2017\\destinationBinary.ods
のように第一引数にコピー元ファイル名、第二引数にコピー先名を指定して起動しています。これを
java FileCopy C:\Java2017\originalBinary.ods C:\Java2017\destinationBinary.ods
のようにファイル名の\を２つ重ねずにプログラムが起動するように変更したいです。
現在このプログラムを起動するときは、ファイルの場所をコピーしてそれから手動で\を二つ重ねていますが、この手間を省略できればと考えています。



###該当のソースコード
```Java
コード
import java.io.FileInputStream;
import java.io.FileOutputStream;
import java.io.IOException;

public class FileCopy {
	public static void main(String[] args) {
		String originalFile = args[0]; //この部分に変更を加える必要があると思われすが、
		String destinationFile = args[1]; //解決策が思い浮かびません。
		try (FileInputStream fis = new FileInputStream(originalFile);
				FileOutputStream fos = new FileOutputStream(destinationFile);) {
			int i = fis.read();
			while (i != -1) {
				fos.write(i);
				i = fis.read();
			}
			fos.flush();
			fos.close();
			fis.close();
		} catch (IOException e) {
			e.printStackTrace();
		}

	}
}

javaの文字列で\(バックスラッシュ)そのものを\\のように\を２つ重ねる以外の方法で表現したいです。

### 実現したいこと
javascriptの変数内に含まれる<script>処理</script>を丸ごと削除したい。


### 該当のソースコード

```javascript
var html = '
 <div>テキスト<div>
 <noscript>
 //処理
 </noscript>
 <script>
 //処理
 </script>';
```

上記を
html = 'テキスト';
の形にしようとしてるのですが、色々調べてみても"タグのみ"を消すものばかりで、中身ごと削除する方法が見つからず困っています。

この場合はどういったメソッドで削除を行うのがベターでしょうか？




javascript内の処理で<script>タグを中身ごと削除したい

### 前提・実現したいこと

C++の std::regex において、任意の文字列に含まれる「文字としての(バックスラッシュ)」を置換することは可能でしょうか？
※任意の文字列はプログラム外から与える事を想定しているため、任意の文字列には「\」１文字が存在することがあります。

### 欲しい結果
プログラムの外部から文字列を指定し、その文字列に含まれる「\」を「\」に置換し出力したいと思っています。

例えば、コンソール上で次のようにすると、

```text
user> app.exe あい\うえお\かきくけこ
```
次の結果を得たいと思っています。
```text
あい\うえお\かきくけこ
```

### 試したこと
次の３つの方法で試しました。

0. バックスラッシュをバックスラッシュでエスケープして実施（PatternA1）
0. バックスラッシュをバックスラッシュでエスケープして実施（PatternA2）
0. 生文字リテラルを用いて実施（PatternB）

また、対象とした文字列は次の３つです。
0. 表層 
0. 予想予
0. あい\うえお\かきくけこ

以下にソースコードを示します。

```C++
#include <string>
#include <regex>
#include <iostream>

void dispResultPatternA1(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex("\"), "\\") << std::endl;
}
void dispResultPatternA2(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex("\\"), "\\") << std::endl;
}
void dispResultPatternB(std::string inputStr) {
	std::cout << "\t" << inputStr << "  ->  " << std::regex_replace(inputStr, std::regex(R"(\)"), "\\") << std::endl;
}
int main(int argc, char* argv[]) {
	if (argc != 4) { return 1; }

	std::string s1_Before = argv[1];//第一引数　...　あい\うえお\かきくけこ
	std::string s2_Before = argv[2];//第二引数　...　表層
	std::string s3_Before = argv[3];//第三引数　...　予想予

	std::cout << " ● PatternA1" << std::endl;
	try {
		dispResultPatternA1(s1_Before);
		dispResultPatternA1(s2_Before);
		dispResultPatternA1(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	std::cout << " ● PatternA2" << std::endl;
	try {
		dispResultPatternA2(s1_Before);
		dispResultPatternA2(s2_Before);
		dispResultPatternA2(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	std::cout << " ● PatternB" << std::endl;
	try {
		dispResultPatternB(s1_Before);
		dispResultPatternB(s2_Before);
		dispResultPatternB(s3_Before);
	}
	catch (std::regex_error& e) {
		std::cout << "\t" << e.what() << std::endl;
	}

	getchar();
	return 0;
}
```

その結果次の様になりました。
そもそもPatternAでうまくいくと思ってましたがエラーが出てしまいます。そこで、エスケープのエスケープで置換したらいいのでは？と思いPatternA2で試してみました。すると、第一引数の文字列は欲しい結果となったのですが、他の特定の文字（ここでは、「表」「予」）も置換の対象となってしまいました。他に方法はないか調べていると、「生文字リテラル」なるものがあり、それで試してみると（PatternB）、PatternA2と同じ結果となりました。

```text
 ● PatternA1
        regex_error(error_escape): The expression contained an invalid escaped character, or a trailing escape.
 ● PatternA2
        あい\うえお\かきくけこ  ->  あい\うえお\かきくけこ
        表層  ->  表\層
        予想予  ->  予\想予\
 ● PatternB
        あい\うえお\かきくけこ  ->  あい\うえお\かきくけこ
        表層  ->  表\層
        予想予  ->  予\想予\
```

C++ の regex において、文字列としての(バックスラッシュ)を置換したい。

### 実現したいこと
```php
$str ='<div class="swiper">文字列</div>
 <script>
  var swiper = new Swiper('.swiper', {
　　//オプション
   });
 </script>
';
//$strに処理を加える
```

上記の処理を行う前段階の格納するところで
syntax error, unexpected '--' (T_DEC), expecting ',' or ')'

のエラーが発生してしまっていて、htmlspecialchars()を使ってもみたのですが、そもそも文字列を格納するのがうまくいってないのでこの手を使ってもだめでした

こういった場合のエスケープではどういった手法で行うのがベターなのでしょうか？


PHPの変数の中に「'」シングルクォート,「"」ダブルクォートを格納(エスケープ)する方法

``str.replace``の第一引数に「スラッシュ」を指定するにはどうすれば良いでしょうか。
以下コードの場合、``testValue``に``http://``が含まれていた場合、先頭からその箇所を削除し、値を格納したいと考えています。
``testValue = testValue.replace( /http:///g , "" )``
試しに「スラッシュ」をエスケープする形で、``/http://///g ``のような形で指定してみたのですが、エラーとなってしまいました。
以下は、参考にした記事になります。
[参考サイトリンクです](https://lab.syncer.jp/Web/JavaScript/Snippet/4/)
こちらを解決する方法がありましたら、ご助言頂けましたら幸いです。

エスケープ処理