最終更新日：
クロスサイトスクリプティングとは、Webページに悪意のあるスクリプトを紛れ込ませ、閲覧した人のブラウザで実行させる攻撃です。
掲示板や検索の結果のように、利用者の入力をページに表示する箇所で、文字の扱いに不備があると、攻撃者はそこにスクリプトを仕込めます。ページを開いた人のブラウザでそのスクリプトが動き、ログインの状態を盗まれる、偽の入力欄を表示される、といった被害につながります。
被害を受けるのは主にサイトの利用者ですが、サイトの運営者は攻撃の場を提供したことになり、信用を損ないます。OWASP Top 10 では「インジェクション」の項目に含まれ、IPAの「安全なウェブサイトの作り方」でも対策が説明されています。
基本の対策は、表示する文字を、ページの一部として解釈されない形に変換して出力すること（エスケープ）です。React や Vue.js などのフレームワークは多くの場面で自動でエスケープしますが、例外の使い方には注意が要ります。Cookieの設定やCSP（コンテンツセキュリティポリシー）も守りを補います。
関連する法令・指針（参考情報）
- 指針
独立行政法人情報処理推進機構（IPA）「安全なウェブサイトの作り方」
ウェブサイトの開発者や運営者に向けて、SQLインジェクションやクロスサイト・スクリプティングなど、よく知られた脆弱性とその対策をまとめた資料です。運用の点検項目をまとめた「安全なウェブサイトの運用管理に向けての20ヶ条」も案内しています。
法令は2026年10月21日時点の内容です。要旨は当社がまとめたもので、条文・判決・指針の全文ではありません。個別の事案への当てはめは、弁護士・社会保険労務士などの専門家にご確認ください。表記の決まりは法令・指針の参考情報と凡例をご覧ください。