先日とあるPHPで作られたウェブアプリのテスト中にこんなことがありました。そのPHPで作られたウェブアプリは、値をHTML出力する際、「htmlspecialchars($output, ENT_QUOTES)」と指定することで、「"'&<>」をサニタイジングしています。しかしながらクロス…