2009-09-08 - hoshikuzu | star_dust の書斎（情報元のブックマーク数）
ぁーうまいなぁ・・・そこを止めれば・・・
なお、攻撃を「完全に防止できる」ということは証明できませんが、十分に難易度を高めることが可能であると思います。
2009-09-08 - hoshikuzu | star_dust の書斎
処置は簡単です。「=」を、数値文字参照化してHTMLに出力するというものです。これにより、onイベント属性の追加が困難になることでしょう。HTMLの各属性をダブルクォート（など）で囲むことを徹底しておくほうがよいことはもちろんですが、時間がかかる場合にはとりあえず、この保険的対策をほどこしてからじっくりと腰を落として本来行うべき対策を行うとよいかもしれません。
