クロスサイトスクリプティング対策

Webページに悪意のあるスクリプトを埋め込まれ、閲覧者のブラウザで実行されることを防ぐ対策。ページに出力する値をHTMLの文脈に応じてエスケープする処理が基本で、入力値の検証、cookieへのHttpOnly属性の付与、実行してよいスクリプトの取得元を制限するContent Security Policy（CSP）を組み合わせる。

Webページに不正なスクリプトを埋め込ませるクロスサイトスクリプティング（XSS）を防ぐ対策。HTMLに出力する値を出力箇所の文脈に応じてエスケープする、URLを出力する場合はhttp・httpsで始まるものだけを許可するといった根本的な対策に加え、CSPで実行できるスクリプトを制限する、CookieにHttpOnly属性を付けてスクリプトから読み取れなくするといった、被害を抑える対策を組み合わせる。

SQLインジェクションを防ぐための実装上の対策。SQL文の組立てにプレースホルダ（バインド機構）を使い、入力値がSQL文の一部として解釈されないようにするのが最も確実である。文字列の連結で組み立てる場合は特殊文字をエスケープ処理し、データベースのアカウントの権限も必要最小限にする。

Webアプリケーションへの通信の内容（HTTPのリクエストやレスポンス）を検査し、SQLインジェクションやクロスサイトスクリプティングなど、アプリケーションの脆弱性を狙う攻撃を検知・遮断する仕組み。IPアドレスやポート番号で制御するファイアウォールでは防げない攻撃に対応し、脆弱性を修正するまでの暫定的な防御にも使われる。