緊急点検！Webアプリ・セキュリティ（前編）/SAFETY JAPAN 2005 (日経BP社)(from bunさんとこ)

http://nikkeibp.jp/sj2005/special/77/index.html
bunさん所でも指摘があるけど、出力前にチェックするのではなく、入力受け付けて処理をする前にチェックする方がいいだろうねぇ。それは、前も書いたとおり、データベースの値を拾ってきたとか、ファイルから読み込んだとか、環境変数の値を使うとかにかかわらず、由来がプログラムにないもの全てを使う前にチェックした方がいい。
物によっては、プログラム内で生成されたデータであっても、関数などの引数として受け付けた場合もチェックした方がいいのに越したことはないのだけど、そこまでやると手間がかかるからなぁ。