サニタイズ とは？

例えばWebフォームに「<script>alert('hack')</script>」と入力されたとき、そのままHTMLに出力するとXSS攻撃になる。サニタイズで「<」を「&lt;」に変換して無害化することで、スクリプトが実行されなくなる。

あるよ。SQLに「'; DROP TABLE users; --」のような文字列が混入されると、データベースが破壊される。SQLのサニタイズではシングルクォートをエスケープするが、より確実なのはプリペアドステートメント（バインド変数）を使うこと。

サニタイズは必要だけど十分ではない。見落としがあると攻撃される。SQLならプリペアドステートメント、HTMLならテンプレートエンジンの自動エスケープを使うのが本質的な対策。「サニタイズを頑張る」より「危険な入力が混入しても安全な設計」が重要。

違うよ。バリデーションは「入力が正しい形式かチェックする（不正なら拒否する）」こと。サニタイズは「入力を安全な形に変換する（不正な部分を除去・無害化する）」こと。理想は両方やることで、バリデーションで不正な入力を弾き、通過したものをさらにサニタイズして安全にするのが多層防御の考え方だよ。

モダンなフレームワークはかなり自動でやってくれるよ。ReactはJSXに埋め込んだ文字列を自動エスケープするし、Railsもビューの出力をデフォルトでエスケープする。ただしdangerouslySetInnerHTMLやraw指定で自動エスケープをバイパスした瞬間に脆弱性が生まれるから、「なぜバイパスが必要か」を常に意識することが大事だよ。