高見知英のかいはつにっし(β)

高見知英のアプリケーション開発日誌 のほか、地域活動などの活動報告ブログ。

XSS

 question:1114938129 を見て、「ああ、何とか答えられるかも…」と、知ってるサイトから必要なものを持ってこようと検索窓にタイプ Enter。
 役に立ちそうなページを見回ってみると、どうも、RFCだと、メールアドレスは結構なんでもありだとか?
http://www.tt.rim.or.jp/~canada/comp/cgi/tech/mailaddrmatch/
RFCの数字からして古い記事かもしれませんが*1
 メールアドレスが実在するかチェックなんて処理があれば楽なんでしょうがね。いちいちDBへの追加などでそんなことをしてるヒマはないでしょうし。

 うちの掲示板でも、ちゃんと対策しないとなぁ…。
とりあえず、掲示板だったらアドレスが記入できないところで、さほど大問題にはならないだろうし、?以降は問答無用で削除 ってコトでいいでしょうが。記事内のURLリンクなども、自動リンクが張られなければ、ブックマークレットを使えばいいだけだし。
URLは、httpとftp, https以外許可しないとか、よくあるやつで(ああでも、「このサイトのこの記事を…」などリンクを紹介するとき、?とか#とか使えないと不便だなぁ、httpなどに限定すれば惨事にはならないだろうし(JavaScriptはそもそも無効なのだから)、それは許可しないといけない か…)。

*1:RFCはPOPとSMTPの邦訳しか読んだことありませんので…