SMARTYSET > > 第9部：PHP 8.5 時代の安全なSmartyコーディング作法 > XSS防止とエスケープポリシー（総まとめ）

9 - 2 : XSS防止とエスケープポリシー（総まとめ）

Webセキュリティの基本である出力エスケープのベストプラクティス総まとめです。

安全な出力のための原則

動的なWebサイトにおいて、セキュリティの最前線となるのがテンプレートです。以下の原則を徹底しましょう。

ユーザー投稿データは常に |escape を通す: 掲示板、コメント、プロフィール、お問い合わせフォームなど、訪問者が入力した文字列を出力する箇所は例外なくエスケープします。
URLパラメータも |escape:'url' を通す: <a href="search.php?q=<{$keyword|escape:'url'}>"> のように属性値に埋め込む場合はURLエンコードを行います。
HTML許可フィールドと分離する: リッチテキスト（CKEditor等）で入力された信頼できる管理者の投稿のみHTML出力を許可し、一般ユーザーの投稿はテキスト形式（|escape|nl2br）に統一します。

🎉 TacmicCMS Smartyマスター！
本電子書籍（Smartyset）で解説したルールと作法を実践すれば、デザイン崩れがなく、PHP 8.5でも一切のエラーを出さない、高速・美麗・安全なWebサイトを自由自在に構築できるようになります！

Publish 1539 bytes

更新: 2026-11-02 16:15 by admin

← 9-1 : Undefinedエラー（Warning/Fatal）を出さない書き方

📖 目次

1 : 第1部：TacmicCMSの構造とテンプレートの役割

1 - 1 : TacmicCMSの全体構造とアーキテクチャ

1 - 2 : モジュール開発とテンプレートの関係

2 : 第2部：Smartyテンプレートの基本構文と作法

2 - 1 : デリミタ（区切り文字）と基本ルール

2 - 2 : リテラルタグ <{literal}> の重要性と活用法

3 : 第3部：変数（Variables）とスコープ完全ガイド

3 - 1 : テンプレート変数の基本とデータ構造の参照法

3 - 2 : Smarty予約変数（スーパーグローバルと環境変数）

3 - 3 : TacmicCMS / ImpressCMS コア提供グローバル変数一覧

3 - 4 : D3モジュール特有の変数と環境変数

4 : 第4部：変数の修飾子（Modifiers）徹底解説

4 - 1 : 文字列操作・整形修飾子

4 - 2 : 日付・数値・フォーマット修飾子

4 - 3 : セキュリティ・安全性修飾子（escape, default, nl2br）

5 : 第5部：制御構文と組み込み関数（Built-in Functions）

5 - 1 : 条件分岐（if, elseif, else）と演算子

5 - 2 : 繰り返し処理（foreach）とループプロパティ

5 - 3 : テンプレート分割とインクルード（include）

6 : 第6部：TacmicCMSカスタム関数・プラグイン

6 - 1 : 変数操作と装飾プラグイン（assign, cycle, counter）

6 - 2 : フォーム生成ヘルパー（html_options, html_radios）

6 - 3 : TacmicCMS専用関数（resized_image）

7 : 第7部：テーマ（theme.html）設計とレスポンシブ化

7 - 1 : theme.html の基本スケルトンと必須要素

7 - 2 : ブロック配置とレイアウト制御（カラムレイアウト）

8 : 第8部：D3モジュールのテンプレート管理とカスタマイズ（ALTSYS連携）

8 - 1 : D3テンプレートの基本構造（3段階の優先順位）

8 - 2 : ALTSYSでのテンプレート複製と編集テクニック

9 : 第9部：PHP 8.5 時代の安全なSmartyコーディング作法

9 - 1 : Undefinedエラー（Warning/Fatal）を出さない書き方

9 - 2 : XSS防止とエスケープポリシー（総まとめ）