クロスサイトスクリプティング対策
Cross-Site Scripting Countermeasures
くろすさいとすくりぷてぃんぐたいさく
Webページに不正なスクリプトを埋め込ませるクロスサイトスクリプティング（XSS）を防ぐ対策。HTMLに出力する値を出力箇所の文脈に応じてエスケープする、URLを出力する場合はhttp・httpsで始まるものだけを許可するといった根本的な対策に加え、CSPで実行できるスクリプトを制限する、CookieにHttpOnly属性を付けてスクリプトから読み取れなくするといった、被害を抑える対策を組み合わせる。
Related
他の資格での定義
クロスサイトスクリプティングを防ぐための実装上の対策。Webページに出力する文字列の特殊文字（<、>、&、"など）をエスケープ処理する、リンク先のURLをhttpとhttpsで始まるものに限る、CookieにHttpOnly属性を付ける、CSPで実行できるスクリプトを制限する、などがある。
Webページに悪意のあるスクリプトを埋め込まれ、閲覧者のブラウザで実行されることを防ぐ対策。ページに出力する値をHTMLの文脈に応じてエスケープする処理が基本で、入力値の検証、cookieへのHttpOnly属性の付与、実行してよいスクリプトの取得元を制限するContent Security Policy（CSP）を組み合わせる。
Past Exams
過去問での出題
過去問で 2 回出題（応用情報技術者試験 1・高度試験 午前Ⅰ 1）。うち 2 回は用語そのものを問う問題です。
出典: 独立行政法人情報処理推進機構（IPA）の過去問題。問題文は IPA のサイトの PDF で確認できます。「用語を問う問題」は、この用語の説明や特徴そのものを問う問題です。用語名で照合しているため、関係の薄い問題が含まれることがあります。
Related
関連キーワードの用語
Webサーバが、HTTPのレスポンスでブラウザに保存させる小さなデータ。以後の同じサイトへのリクエストで自動的に送られ、状態を持たないHTTPでログイン状態やショッピングカートの内容を維持するために使われる。セッションの乗っ取りや追跡に悪用されないよう、Secure属性やHttpOnly属性などを設定する。
Webアプリケーションが利用者の入力を適切にエスケープせずにWebページへ出力する脆弱性を突き、攻撃者が仕込んだスクリプトを閲覧者のWebブラウザ上で実行させる攻撃。XSSと略し、Cookieの窃取によるセッションハイジャックや偽の入力フォームの表示などに悪用される。
SQLインジェクションを防ぐための実装上の対策。SQL文の組立てにプレースホルダ（バインド機構）を使い、入力値がSQL文の一部として解釈されないようにするのが最も確実である。文字列の連結で組み立てる場合は特殊文字をエスケープ処理し、データベースのアカウントの権限も必要最小限にする。