エスケープ処理 とは？

プログラムにとって特別な意味を持つ文字を、ただの文字として扱えるように変換することだよ。たとえばHTMLで <script> って書くと、ブラウザはそれをJavaScriptのコードとして実行しちゃう。でも &lt;script&gt; に変換すれば、画面にただの文字列として表示されるんだ。

たとえば掲示板の名前欄に <script>alert('乗っ取り')</script> って入力されたとする。エスケープ処理をしていないと、その掲示板を見た全員のブラウザでこのスクリプトが動いちゃう。これがXSS攻撃で、Cookieを盗まれたりする危険があるんだよ。

そうだよ。ログインフォームのパスワード欄に ' OR '1'='1 って入力されたとき、エスケープしていないとSQL文が書き換えられて、パスワードなしでログインできちゃうことがある。これがSQLインジェクションだね。今はプリペアドステートメントという仕組みで自動的に安全に処理するのが主流だよ。

だから今のフレームワークは自動エスケープ機能を持っているものがほとんどだよ。ReactならJSXが自動でHTMLエスケープしてくれるし、データベースアクセスもORMが安全に処理してくれる。ただし、自動エスケープを意図的にオフにする機能（ReactのdangerouslySetInnerHTMLとか）を使うときは要注意だね。