質問: WEB製作にてクロスサイトスクリプティング対策を検討しておりますが、メールアドレス欄にて迷っています。メールアドレスにどのような制限をかけて行くのが現実的でしょうか? メールアドレスって実際には使用不可能文字が決まっていないようなものと考えられるので(私の思い込み?)、どこまで制限するかを迷ってます。ちなみにaspにてプログラム、データベースはSQL2003サーバになります。
回答: http://www.ipa.go.jp/security/awareness/vendor/programming/a01_0... 1-2. クロスサイトスクリプティング クロスサイトスプリクティング対策を施すにはHTMLタグを受け付けなければいいというのはこれで理解できます。メールアドレス欄といえどもタグを埋め込まれてくる可能性があるので対策を施すべきかと。 http://www.atmarkit.co.jp/fsecurity/rensai/webhole14/webhole01.h... @IT:Webアプリケーションに潜むセキュリティホール(14) ASPということなので、サニタイジングについてはHTMLEncodeすればいいでしょう。