smartyのエスケープについて見直す

SmartyではPHPの値を出力するとき、デフォルトではエスケープされていないので、 XSS対策として、明示的にエスケープしなければなりません。

XSS対策としての正しくエスケープを行うには、内部でどのような動きをしているのか把握する必要があるので、見直していきます。

以下の環境を使って見直す

大まかに解説が載っているが、javascript など抜けているのもある https://www.smarty.net/docs/ja/language.modifier.escape.tpl

デフォルト
htmlspecialcharsをかけ & " ' < > をエスケープする
- オプションは、ENT_QUOTES 固定
- smartyで指定された文字コードを指定
- htmlspecialcharsの第四引数、double_encodeのオン・オフが選べる

適用可能な文字を全て HTML エンティティに変換する
- マルチバイトもHTML エンティティに変換するため、mb_stringが有効なときは、htmlspecialcharsをした上で、mb_convert_encodingしている。

escape:html を使う

<h1>{$hoge|escape:html}</h1>

<input type="text" name="hoge" value="{$huga|escape:html}" />
※属性値はダブルクォートで囲ってあること

<a href="{$hoge|escape:html}">リンク<a>
※別途スキーマのバリデーションは行うこと

escape:'url', escape:'urlpathinfo' を使う

<a href="http://localhost:8080/index.php?hoge={$hoge|escape:'url'}"

<a href="http://localhost:8080/{$hoge|escape:'urlpathinfo'}"

function hoge(){
    var = "{$hoge|escape: 'javascript'}";
}
※ そもそも、JavaScript内に動的に値を埋め込まないのがベスト

イベントハンドラの場合は、+αでHTMLのエスケープをする

<body onload="console.log('{$hoge|escape: 'javascript'|escape: 'html'}');">