リストビューでの HTML をエスケープ (セキュリティセンター 1.3 で更新)

  • リリースバージョン: Xanadu
  • 更新日 2024年08月01日
  • 所要時間：2分

    • glide.ui.escape_html_list_field プロパティを使用して、リストビューの HTML フィールドで強制的に HTML をエスケープします。

    HTML は、辞書フィールドに割り当てることができるタイプの一種です。HTML フィールドを任意のフィールドタイプに割り当てると、HTML コード (<p>、<a href>、<b>、<font>、<img> など) を使用してコンテンツをフォーマットできるようになります。悪意のあるユーザーは、フォームフィールド内に HTML コードを挿入して、さまざまなクライアント/ユーザーセッションで不要なスクリプトを実行できます。
    • このプロパティを false に設定すると、テーブルがリストビューとして表示されるときに、レコード/フィールドがブラウザーでレンダリングされる前に HTML エスケープが実行されます。
    • true に設定し、テーブルまたはレコードリストを表示しているときにリストビューでその列を選択すると、これらの HTML 形式のフィールドが表示される場合があります。
    警告:
    これはセーフハーバープロパティです。つまり、いったん変更したら変えることはできません。元に戻すことはできません。

    詳細情報

    属性 説明
    プロパティ名 glide.ui.escape_html_list_field
    構成タイプ システムプロパティ (/sys_properties_list.do)
    カテゴリ 検証、サニタイズ、およびエンコーディング
    目的 アプリケーションでクロスサイトスクリプティング攻撃を防ぐこと
    推奨値 true
    デフォルト値 true
    セキュリティリスク評価 8.8
    機能への影響度 (中) この修正では、UI で強制的に HTML パーサーレベルの HTML エンコードが行われ、エンコードされた結果がユーザーに対してレンダリングされます。これは、結果のデータを用いたインスタンスのユーザーインタラクションに基づいて、機能に影響を与える可能性があります。
    セキュリティリスク (高) クロスサイトスクリプティング攻撃から防御するために、アプリケーションで入力検証を行う必要があります。これらの攻撃により、ログインしているブラウザーのコンテキストで、ユーザーセッションで外部スクリプトが実行される可能性があります。攻撃者はこれを使用してセッション情報と機密データを盗むことができます。
    参照

    高セキュリティ設定

    システムプロパティの追加または作成の詳細については、「Add a system property」を参照してください。