質問: null){ return htmlspecialchars($str,ENT_QUOTES, "UTF-8"); } ``` 上記のような処理をいれてみましたが、XSSフィルタ外したブラウザで確認するとalertが動いてしまいました。 どのような処理がを行えば正しくget値に対してXSS対策ができるでしょうか。 ご教授お願いいたします。
回答: 提示されている「URL」がフォームに入れた内容ならば、確認するのはGETでなくPOSTです。 「URL」がフォームのURLにパラメータとしてつけたものであれば、ソースを表示してどこ挿入されたか確認してみては。