スニペットはユーザー入力が反射する信頼できない値なので