出力エスケープ処理とは？
出力エスケープ処理とは、データを外部へ出力する直前に、出力先の文法で特別な意味を持つ文字を無害な表現へ変換する処理。HTMLなら「<」を「<」にするなど、変換規則は出力先ごとに異なる。入力時ではなく出力時に、文脈に応じて行うのが原則とされる。
しゅつりょくえすけーぷしょり
出力エスケープ処理の意味
データを外部へ出力する直前に、出力先の文法で特別な意味を持つ文字を無害な表現へ変換する処理。HTMLなら「<」を「<」にするなど、変換規則は出力先ごとに異なる。入力時ではなく出力時に、文脈に応じて行うのが原則とされる。
出力エスケープ処理の具体例
同じ利用者名でも、HTML本文へ出すならHTMLエスケープ、JavaScriptの文字列リテラルへ埋めるならJavaScriptエスケープ、URLのクエリへ載せるならURLエンコードと、三者三様の変換が要る。HTMLエスケープしただけの値をscriptタグ内に置くと、そのまま攻撃が成立する。
出力エスケープ処理は試験でどう引っ掛けられる？
「入力時に一度エスケープすれば全部安全」は誤り。出力先が複数あれば必要な変換も複数で、入力時に変換するとDBに壊れた値が入り二重エスケープも起きる。またSQLへの埋め込みはエスケープではなくプレースホルダで解決するのが正解。
出力エスケープ処理と関連する用語
最終更新：2026-08-25／解説は資格暗記が独自に作成しています。 過去問の出典は各問題に記載のとおりです。