質問: cakephp3ではDB登録の際のエスケープ処理とXSS対策が自動で入っている気がするのですが、認識としてあっていますでしょうか。 特に意識して作っていなかったため、もしそのあたりわかる方いれば教えていただきたいです。
回答: SQLインジェクションはデフォルトで防いでます。 https://book.cakephp.org/3.0/ja/orm/query-builder.html#id19 XSS対策はデフォルトViewを使っている場合は出来ていないので `h($hoge)` のように出力時にエスケープする必要があります。 https://book.cakephp.org/3.0/ja/core-libraries/global-constants-and-functions.html