クロスサイトスクリプティング(XSS)とは

正解：A. localStorageのデータはリクエストに自動では付かず、同じオリジンのページのJavaScriptから読み書きして使う

localStorageは、オリジンごとにキーと値の文字列を保存するブラウザの記憶場所で、有効期限を決める仕組みはなく、一般に消すまで残ります。サーバへは自動では送られないので、送りたいときはJavaScriptでリクエストに入れます。Cookieは1つあたり一般に約4 KBまでと小さく、リクエストのたびに自動で送られるのに対し、localStorageにはより大きなデータを置けます。ただし、ページのJavaScriptからはいつでも読めるので、XSSがあると中身を盗まれます。認証に使う値を置くときは、この危険を考える必要があります。

正解：B. クロスサイトスクリプティング(XSS)。投稿された文章をHTMLとして出力するときに、< や > などの特別な意味をもつ文字をエスケープする

クロスサイトスクリプティング(XSS)は、Webアプリケーションが、利用者の入力をそのままHTMLの中に出力するために、入力に含まれたスクリプトがページの一部として閲覧者のブラウザで実行されてしまう脆弱性です。スクリプトは、そのサイトのページとして動くので、閲覧者のセッションの情報(Cookie)を盗んだり、偽の入力欄を表示したりするおそれがあります。根本的な対策は、出力する場所に応じて、< や > や & や引用符のような特別な意味をもつ文字をエスケープ(例えば < を &lt; に変換)して、ただの文字として表示させることです。補助的な対策として、CookieにHttpOnly属性を付けてスクリプトから読めないようにしたり、コンテンツセキュリティポリシーで実行できるスクリプトを制限したりします。HTTPSは通信路を守るもので、正規のページに埋め込まれたスクリプトの実行は防げません。