서버가 HTML을 생성할 때 사용자 입력을 고정된 title 속성의 큰따옴표 안에 출력한다. 가장 우선할 방어는?

정답 2번

title처럼 코드 실행 의미가 없는 고정 속성이라도 입력이 닫는 따옴표를 만들면 새 속성이나 태그를 삽입할 수 있다. 속성값을 따옴표로 감싸고 그 문맥에 맞게 따옴표·앰퍼샌드·꺾쇠 등을 인코딩해 입력이 값의 경계를 벗어나지 않게 해야 한다. SQL용 이스케이프나 특정 단어 삭제는 HTML 해석 규칙을 제어하지 못한다. 이 설명은 title 속성 조건에 대한 것으로, onclick 같은 이벤트 속성이나 href의 위험한 URL을 일반 속성 인코딩만으로 안전하게 만들 수 있다는 뜻은 아니다.