出力時のエスケープ処理とは？

出力時のエスケープ処理とは、データを別の処理系へ渡す直前に、その処理系で特別な意味を持つ文字を無害な表現へ変換すること。危険かどうかは出力先の文法で決まるため、HTML、JavaScript、URL、SQL、シェル、LDAPなど渡し先ごとに変換規則が異なるのが要点。

しゅつりょくじのえすけーぷしょり

システム監査技術者試験の頻出用語／午前II

出力時のエスケープ処理の意味

データを別の処理系へ渡す直前に、その処理系で特別な意味を持つ文字を無害な表現へ変換すること。危険かどうかは出力先の文法で決まるため、HTML、JavaScript、URL、SQL、シェル、LDAPなど渡し先ごとに変換規則が異なるのが要点。

同じ利用者名でも、HTMLの本文へ出すなら「<」を実体参照に変換し、URLのクエリへ入れるならパーセント符号化し、JavaScriptの文字列リテラルへ埋め込むなら別の規則で変換する。テンプレートエンジンの自動エスケープを使う場合も、埋め込む文脈ごとに指定する。

入力時に一括変換して保存する方式は、出力先が複数あると破綻し、二重変換で表示が壊れる原因にもなる。原則は「保存は生データ、出力の直前に文脈に応じて変換」。またHTML属性値やイベントハンドラ内は本文と規則が違う点も狙われる。

最終更新：2026-08-25／解説は資格暗記が独自に作成しています。過去問の出典は各問題に記載のとおりです。