クロスサイトスクリプティング

Outcome：Complete the task with クロスサイトスクリプティング (Cross-Site Scripting)。 User context：フォーラム投稿に `<img alt="" onerror=…>` が含まれています。安全なテンプレートはテキストとして挿入し、許可された小さなMarkdownセットをクリーニングし、有害なURLをブロックし、CSPを強制します。リグレッションテストはHTML、属性、URL、CSS、JavaScriptの各コンテキストを個別にチェックします。 Risk or control to address：クロスサイトスクリプティング (Cross-Site Scripting)。 Why it applies：信頼できない出力をその正確なコンテキストに応じてエンコードし、安全なDOM APIを使用してください。HTMLが許可されている場合は、厳密な許可リストでクリーンにし、CSPを別の防御手段として追加してください。 Classification boundary：1つのエスケープ関数はすべてのコンテキストに適合するわけではありません。入力チェックやCSPだけでは、すべての危険な箇所を安全にできません。 Safety requirements: Test only in an isolated space with explicit permission. Use inert, harmless inputs. Protect secrets and personal data. Name the trust boundary and record the mitigation. Operational safeguards: Set up detection and logs that hide sensitive data. Name the incident owner. Define a safe failure mode and rollback before release. Acceptance criteria: A defensive regression test fails before the mitigation and passes after it. No real target, secret, or personal data is used. Monitoring and rollback are verified. Evidence and limits (evidence boundary)：その情報源にとって公式です。他のプラットフォームやチームはその用語を別の方法で使用する場合があります。 Unknowns to confirm: Authorized scope, affected assets, data class, threat actor, incident owner, and rollback limits.