余計なお世話かと思うけれど……

某電機メーカのメルマガで、プレゼントの案内があったので、早速応募してみたのです。それはいいのですが、気になったのは、アンケートのウェブフォーム。「シングルクォート(‘)が含まれる場合は、取り除いてから～」みたいなことが書いてあるんですよ。

なんで、そんなことが問題になるのか考えてみると、おそらくは、データベースに登録するSQLに問題があって、単純に、’$text’みたいなことが書いてある、大胆なものになっているに違いないのです。

つまり、ユーザが入力したデータに対する、エスケープ処理が適切でない可能性が大ありなのです。つまり、クロスサイトスクリプティングの餌食になりますという宣言のように見えてくるのです。

あんまり、危ないから、どこのサイトか書きませんけれどね……。いや、流石に、やばいSQLを流し込まれるような穴はふさいであるのかもしれませんが、ちゃんとエスケープしてあれば、シングルクォートなんて問題になりませんからねぇ……。