個人情報保護士認定試験 オフィス・情報システムセキュリティ 練習問題 第67問: ウェブページに表示する文字列のクロスサイト・スクリプティング対策について、IPA「安全なウェブサイトの作り方（改訂第7版）」の記述に合うものはどれか。

正解: 3. エスケープ処理は、必須かどうかによらず、テキストとして出力する全てに一貫して施すとされている

同書1.5の根本的解決5-(i)は、ウェブページに出力する全ての要素にエスケープ処理を施すとし、エスケープ処理が必須となるのは外部からの入力値やデータベース・ファイルから読み込んだ文字列等だが、必須か不必要かによらずテキストとして出力する全てに施す一貫したコーディングで対策漏れを防げるとしています（肢3）。データベースから読み込んだ文字列も、エスケープ処理が必須となる対象です（肢4は誤り）。URLは「http://」や「https://」で始まるもののみを許可するホワイトリスト方式で実装するとしています（肢2は誤り）。入力値の内容チェックは保険的対策で、有効となるのは限定的とされています（肢1は誤り）。

根拠・参照資料: 個人情報の保護に関する法律第23条（個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」別添）

関連キーワード: エスケープ処理・根本的解決・保険的対策・ホワイトリスト方式