未知の攻撃パターンのためにエスケープ処理を付与

[nanasess]

• 主に未知の攻撃パターンによるXSSを防止する目的
• エスケープ漏れがあった場合でも、デフォルトフィルターによってサニタイズされるため実害は無いが、未知の攻撃パターン防止のためエスケープ処理を追加
  • OWASP ZAP で警告が出たケースを修正
  • 以下のような grep で対象をざっくり抽出し、目視で修正

grep -r --color -nH --null -P  '(?!.*(\|h|\$smarty\.const|transactionid|nofilter|TPL_URLPATH|escape:|sfGetCheck|\.iteration}))<(a|input).*<!--{\$.*}-->' --exclude-dir=mobile data/Smarty/templates

[chihiro-adachi]

@nanasess
ありがとうございます。マージしました。