【JavaScript】XSS対策で最低限のサニタイズ（エスケープ）をする

1. JavaScript
2023/10/28

TypeScriptでライブラリを使わずに特殊文字を最低限サニタイズする。

function sanitize(str: string): string {
  return str.replace(/&/g, '&amp;')
    .replace(/'/g, '&apos;')
    .replace(/"/g, '&quot;')
    .replace(/</g, '&lt;')
    .replace(/>/g, '&gt;')
}

よりシンプルな方法。

const ESCAPE_RULES = {
  '&': '&amp;',
  "'": '&apos;',
  '"': '&quot;',
  '<': '&lt;',
  '>': '&gt;',
};

function sanitize(str: string): string {
  return str.replace(
    /[&'"<>]/g,
    (match) => ESCAPE_RULES[match],
  );
}

対象の特殊文字を列挙しておく方法。こちらの方がスッキリする。