まずエスケープする所は、ユーザーが入力した文字。
固定値はエスケープしないで出力しても安全。
これがサーバーサイドの常識。

クライアントサイドでも同じで、
innerHTMLに固定値を代入するときは
何の問題も起きない。リスクもない。

全然常識じゃない

お前が意味のないコード書いてるだけ。
意味があることだけやれや
過保護やろう

ママーこわいよ。ヒューマンエラー怖いよー
リスクがー、リスクがー。
バグかいても、動くコードかいてー
リスクゼロじゃなきゃだー

innerHTMLに代入する文字が
固定の文字列ならリスクゼロだよｗ

たぶん「固定の文字列」がわからないんだよ

>>255
innerHTMLを選択する理由もゼロになるな

innerHTML君はいい加減、黙ってくれないかな
言いたいことは全ていっただろうに、いつまで続けるというのか

>>257
コードがシンプルになるよ。

innerHTML = '<table id="tbl"><tr><td class="first">なんとか</td></tr></table>';

これをinnerHTMLを使わないで書こうとすると
複雑になるからね。つまりコストが掛かってバグを起こすリスク（笑）が高くなる。

>>256
なるほど。固定の文字列がわからないのか。
上の、'<table>～</table>'のことだよ。
値が変わらないからXSSが起きるリスクがない

>>258
> いつまで続けるというのか
え？ それ言っておかないとダメ？

反論する人がいる限り叩き潰しに来るし、
この話題が出るたびに再登場するよ。

ちゃんと、いつまで続けるか言ったので
今度から聞かないでね。

innerHTML = '<table id="tbl"><tr><td class="first">なんとか</td></tr></table>';

と書こうとして、ちょっと眠くてうっかりして手が滑って

innerHTML = '<table id="tbl"><tr><td class="first"><script>alert(1)</script>なんとか</td></tr></table>';

って書いてしまったらどうするんだ！


ねーよｗ

なんとかの部分を可変にしてほしいという変更依頼があったらどうする?

ここまで低次元だという事がないな

>>262
エスケープする。サーバーサイドの常識（笑）だろ

エスケープするの忘れるかもしれないから
echo禁止。ユーザーが入力したものを表示するの禁止。

変更依頼があって、そこからやるのか…

>>263
それだけ過保護が多いんだろ。
うちの会社は馬鹿ばかりだから規則を守れ。
理由は考えるなお前らはただ規則を何も考えずに守ってればいいんだ。

>>266
何か問題？

低次元の人は何考えてるのかわからんので、
ちゃんと書こうね。

>>215あたりがこいつの考えの根底にあるものか
テキスト操作に拘り過ぎてDOMの概念がないんだな

>>267
理由を理解できないおまえにいわれたくないわ

>>264
ネタだと思ってたらお前は絶対にサーバサイドでコード書かないほうがいいよ

>>268
依頼がなくても最初から全部エスケープしていればいいだろ

innerHTML = escapeHTML('<table id="tbl"><tr><td class="first">なんとか</td></tr></table>');

ドヤッ！

>>270
みんなお前が馬鹿だってわかってるから
もうやめたら？ｗ

>>271
へー。あんたエスケープしないんだ？
ユーザーが入力した文字をエスケープしないんだねｗ

>>271
まさか、まだサーバーサイドで固定値をエスケープしろとか言ってんの？

echo htmlspecialchars('<table id="tbl"><tr><td class="first">なんとか</td></tr></table>', ENT_QUOTES, 'utf-8');

なるほど、こういうコード書けと。

あんた、バグってますよｗ

>>273
会話のキャッチボールできないのかな？
まともに相手してもらえなくなりますよ

>>274
逆にいちいち区別するほうが変だろ
常にしておけばいい

>>275
相手しなくていいってｗ
どうせお前だけだろ？ 意味もなくinnerHTML使うなって言ってるのは。

俺はしっかり言った。代入するのが固定の文字列であれば
innerHTMLを使うリスクは0だ。

固定値じゃない（ユーザーが入力する文字）ならばエスケープすればいい。

さあ、反論は？

ボール投げたから、ちゃんと投げ返してね。

>>276
だからバグってるだろｗ
正しく動いてないだろｗ

>>278
いや、そのコードかいたの俺じゃないし

バグっていても、リスクが0なら
そっちの方がいいだろう？

初めてだわ、場合によってサニタイズするって考えの人
LTでも勉強会でも見たことないので是非スライドシェアに投稿してほしいね

>>276
「常にしておく」って誰かから聞いたのをそのまま言ってるだけ？

常にしておくっていうのは、変数を出力する時の話であって
固定の文字列の部分は関係ないよ。

ちゃんと理解してないで、言葉だけ覚えてるから
そういう間違いをするんだよ。

え？

>>281
あー、わかったわ。お前が何を勘違いしているのか。

全部エスケープしろって言われて、
echoで出す文字全てをエスケープしろって思ってるだろ？

echo htmlspecialchars('<table id="tbl"><tr><td class="first">$nantoka</td></tr></table>', ENT_QUOTES, 'utf-8');

みたいに。

あのね、よく聞いてね。
みんなが言ってる「常にエスケープしろっていうのは」

<table id="tbl"><tr><td class="first"> <?php echo htmlspecialchars('$nantoka', ENT_QUOTES, 'utf-8') ?> </td></tr></table>;

変数の部分だけだから。

ここまで次元が低いと、降りるまで時間がかかるわｗ

>>284のコードを
innerHTMLの話に戻すと

innerHTML = '<table id="tbl"><tr><td class="first">なんとか</td></tr></table>';

これはエスケープする必要はない。固定の文字列であり変わることがなくて安全だから。

「なんとかの部分を変えたい」という話であれば、こう。

innerHTML = '<table id="tbl"><tr><td class="first">' + escapeHTML(nantoka) + '</td></tr></table>';

>>284
あんたが一人で騒いでるだけだろう
俺は>>215と書いたのに勝手に脱線してるのはお前なんだよ

今頃、変数の前後の固定の文字列まで含めて
エスケープしているスライドを探してるのかな？ｗ

>>286
別に騒いでるのが俺だけってことでもいいよ。

俺の言ってることが間違っていると言わないなら
全然問題なし。

で、固定の文字列は安全です。

ここらへんで、一旦まとめを書いておきますね。

Q. innerHTMLは絶対に使ったらダメなの？
A. XSSが起きるような使い方をしなければ使って問題はありません。

Q. XSSが起きる場合とはどんな時ですか？
A. ユーザーからの入力された変数をそのまま出力するとXSSになる可能性があります。

Q. XSSが起きないようにするにはどうすればいいですか？
A. エスケープをしましょう。以下は例です。
innerHTML = '<table id="tbl"><tr><td class="first">' + escapeHTML(text) + '</td></tr></table>';

Q. escapeHTMLが使えません。
A. 残念ながら標準では用意されていないのでライブラリを使うか自分で実装する必要があります。

例
function escapeHTML(str) {
return str.replace(/&/g, "&").replace(/"/g, """).replace(/</g, "<").replace(/>/g, ">");
}
lodash.jshttp://lodash.com/docs#escape
Prototype.jshttp://api.prototypejs.org/language/String/prototype/escapeHTML/

Q. escapeHTMLと書くのが面倒です。
A. テンプレートライブラリなどを使えば簡単にかけます。

例 lodash
_.template('<b><%- value %></b>', { 'value': '<script>' });
// → '<b><script></b>'

Q. createElementやappendChild等のDOM命令を使ったほうがいいのではないですか？
A. 使ってもいいですがコードが冗長になります。
安全な場合（XSSが起きない場合）は冗長にしてまでDOMを使う理由がありません。

http://img.2ch.sc/ico/nida.gif
casperjsをインストールして試そうとすると以下のエラーがでてうまく動かないです。

【環境】OS：Win7pro 64bit
【何をしたのか】
コマンドプロンプトでcasperjsを試そうとすると以下のエラー？がでます

【エラーメッセージ】

C:\Users\*******>casperjs --version
1.1.0-beta3
Unsafe JavaScript attempt to access frame with URL about:blank from frame with URL file:///C:/jstools/casperjs-1.1-beta3/bin/bootstrap.js. Domains, protocols and ports must match.

【期待する結果】
PhantomJSとCasperJSをうまくインストールしたいです。
エラーの原因がわかる方、いらっしゃいましたら宜しくお願いします。

まとめ書いたら、止まったかｗ

>>290
Displaying message "Unsafe JavaScript attempt to access frame with URL about:blank ...". #1068
http://github.com/n1k0/casperjs/issues/1068

これじゃね？

あ、こっちか？

Unsafe JavaScript attempt to access frame in 1.9.8
http://github.com/ariya/phantomjs/issues/12697

早くこの辺の話終わんねえかな…

>>293
終わったよ。まとめ書いたから止まった。

もう次の話に入ったよ。

次からID出すといいかもね
ID出しておくと便利で、うざいやつからの反論が無くなるらしいよ

>>295
昨日だったか一昨日だったかは出したんだけどね。
今回は反論を叩きのめそうと思ったので
あえて隠した。どっちにするかは気分次第。

http://img.2ch.sc/ico/nida.gif
>>291
ありがとう
なんとなく？読んでみたけど今のところ解決策がない感じ・・・かなぁ

ほんとぱたっとやんだなｗ
やっぱりinnerHTMLを否定していたのは一人だったか。
俺も寝るから、またあしたな。

>>297
どうやらバグみたいだから
一つ前のバージョンに戻すとかしてみればいいんじゃない？

一人で頑張るならID出したほうがいいぞ
自演を疑われるぐらいなら初めからID出したほうが信用される
後は各自で判断するだろうさ

ようやく向こうのスレが収束したわけだが

> function escapeHTML(str) {
> return str.replace(/&/g, "&").replace(/"/g, """).replace(/</g, "<").replace(/>/g, ">");
> }
これは酷いな
XSSが発生するコードを披露するとは