出力時のエスケープ処理とは？

出力時のエスケープ処理とは、データを別の処理系へ渡す直前に、その処理系で特別な意味を持つ文字を無害な表現へ変換すること。危険かどうかは出力先の文法で決まるため、HTML、JavaScript、URL、SQL、シェル、LDAPなど渡し先ごとに変換規則が異なるのが要点。

高度試験・午前I（全区分共通）の過去問では1回出題されています。

しゅつりょくじのえすけーぷしょり

高度試験・午前I（全区分共通）の頻出用語／午前I（全区分共通）

出力時のエスケープ処理の意味

データを別の処理系へ渡す直前に、その処理系で特別な意味を持つ文字を無害な表現へ変換すること。危険かどうかは出力先の文法で決まるため、HTML、JavaScript、URL、SQL、シェル、LDAPなど渡し先ごとに変換規則が異なるのが要点。

同じ利用者名でも、HTMLの本文へ出すなら「<」を実体参照に変換し、URLのクエリへ入れるならパーセント符号化し、JavaScriptの文字列リテラルへ埋め込むなら別の規則で変換する。テンプレートエンジンの自動エスケープを使う場合も、埋め込む文脈ごとに指定する。

入力時に一括変換して保存する方式は、出力先が複数あると破綻し、二重変換で表示が壊れる原因にもなる。原則は「保存は生データ、出力の直前に文脈に応じて変換」。またHTML属性値やイベントハンドラ内は本文と規則が違う点も狙われる。

クロスサイトスクリプティング対策に該当するものはどれか。
正解：Webページに入力されたデータの出力データが、HTMLタグとして解釈されないように処理する。
要点：XSS対策の要は出力時のエスケープ処理
クロスサイトスクリプティング（XSS）は、利用者の入力した文字列がそのままWebページに出力され、スクリプトとして実行されてしまうことで成立する。したがって対策の中心は出力時のエスケープ処理であり、<や>、&などをHTMLタグとして解釈されない文字参照に変換することが該当する。
出典：平成30年度秋期高度共通_午前I試験 am1 問13（IPA）

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。