ApacheでPHPのクロスサイトスクリプティング（XSS）対策を徹底設定する方法

XSS（クロスサイトスクリプティング）は、Webアプリケーションのセキュリティにおいて頻出する脆弱性であり、ユーザーのブラウザ上で不正なスクリプトが実行されるリスクがあります。これにより、ユーザーのセッションが盗まれたり、個人情報が漏洩する可能性が生じます。特にPHPを使用したWebサイトは、フォーム入力やURLパラメータを介して攻撃を受けやすいため、XSS対策は不可欠です。

Apacheは、サーバーレベルでXSS対策を行える強力なWebサーバーであり、セキュリティヘッダーやフィルタリングを通じて攻撃を未然に防ぐことが可能です。本記事では、ApacheとPHPの両方でXSS対策を行う方法について解説します。Apacheの設定ファイルで行うXSS防止策から、PHPコードレベルでのデータサニタイズ、エスケープ処理まで、実践的な対策を詳しく説明します。

セキュリティの脆弱性を放置すると、信頼性やブランドイメージに大きな影響を与える可能性があります。これを防ぐために、正しい設定と運用でXSS対策を徹底しましょう。

クロスサイトスクリプティング（XSS）の概要
Apacheで行う基本的なXSS対策の概要
Apacheのセキュリティヘッダー設定方法
PHPコードでのXSS対策方法
HTML出力時のエスケープ処理と具体例
ユーザー入力の検証とサニタイズ
実際のApache設定例とデモコード
XSS対策のテストと検証方法
まとめ

クロスサイトスクリプティング（XSS）の概要

クロスサイトスクリプティング（XSS）は、悪意のあるスクリプトがWebアプリケーションを介してユーザーのブラウザで実行される脆弱性です。攻撃者はこの手法を用いて、ユーザーのセッション情報やCookieを盗み出したり、不正な操作を強制的に実行させたりします。

XSSの仕組み

XSSは、ユーザーが信頼するWebサイトに悪意のあるスクリプトを埋め込むことで発生します。これにより、被害者のブラウザ上で意図しないJavaScriptが実行されます。典型的な例としては、検索フォームやコメント欄などの入力欄を介して不正なコードが挿入されるケースがあります。

XSSの種類

XSSには主に以下の3種類があります。

1. 反射型XSS（Reflected XSS）

攻撃者がURLパラメータなどを介してスクリプトを送信し、ユーザーがそのURLをクリックするとスクリプトが即座に実行されます。

2. 格納型XSS（Stored XSS）

悪意のあるスクリプトがデータベースやサーバーに保存され、後で他のユーザーがそのページにアクセスした際にスクリプトが実行されます。コメント欄や掲示板などで発生しやすいタイプです。

3. DOMベースXSS

DOM操作を通じてクライアントサイドでスクリプトが動的に挿入され、ブラウザ上で直接実行されます。これはJavaScriptの処理が脆弱な場合に発生します。

XSSの危険性

XSS攻撃により、以下のようなリスクが生じます。

セッションハイジャック：ユーザーのセッションIDが盗まれ、不正ログインされる可能性があります。
フィッシング詐欺：信頼されたサイト内で偽のフォームが表示され、ユーザーが誤って個人情報を入力するリスクがあります。
ブラウザ操作の乗っ取り：攻撃者が被害者のブラウザ上で任意の操作を行えるようになります。

XSSの危険性を理解し、早期に適切な対策を講じることが重要です。

Apacheで行う基本的なXSS対策の概要

Apacheは、サーバーレベルでXSS攻撃を防ぐための強力な機能を備えています。これにより、アプリケーションコードを変更せずにセキュリティを向上させることが可能です。Apacheの設定ファイル（httpd.confや.htaccess）を活用することで、XSSのリスクを軽減できます。

ApacheでのXSS対策の重要性

XSS攻撃は主にクライアントサイドで発生しますが、Apacheでサーバーレベルの防御策を講じることで、多くの攻撃をブロックできます。これにより、以下のようなメリットがあります。

広範囲にわたる防御：サイト全体で同一のポリシーを適用できるため、効率的にXSSを防止可能です。
即時対応：コード修正が不要で、設定ファイルを更新するだけで迅速にXSS対策が適用されます。

Apacheでの基本的なXSS対策方法

ApacheでXSS対策を行う主な方法は以下の通りです。

1. セキュリティヘッダーの設定

セキュリティヘッダーを設定することで、XSS攻撃のリスクを大幅に軽減できます。特に「X-XSS-Protection」や「Content-Security-Policy (CSP)」の設定が有効です。

Header set X-XSS-Protection "1; mode=block"
Header set Content-Security-Policy "default-src 'self'"

2. 入力データのフィルタリング

Apacheのmod_securityモジュールを利用することで、悪意のある入力データを自動でフィルタリングできます。これにより、XSS攻撃の試みが事前にブロックされます。

SecRuleEngine On
SecRule ARGS "<script>" "deny,status:403"

3. エラーページのカスタマイズ

XSS攻撃を試みた際に、エラー画面を表示して攻撃者に情報を漏らさないようにします。

ErrorDocument 403 /custom403.html

Apacheでの対策の効果

これらの設定により、XSS攻撃の発生率が大幅に低下し、ユーザーの安全が確保されます。アプリケーションコードと組み合わせることで、より堅牢なセキュリティ対策を構築できます。

Apacheのセキュリティヘッダー設定方法

セキュリティヘッダーは、HTTPレスポンスヘッダーを介してXSS攻撃を防ぐ重要な手段です。これらのヘッダーは、ブラウザに対して特定の挙動を指示し、悪意のあるスクリプトの実行を防止します。Apacheでは、これらのヘッダーを簡単に設定でき、Webサイト全体のXSS耐性を高めることが可能です。

主なセキュリティヘッダーの種類と役割

1. X-XSS-Protection

XSS攻撃を検出し、ブラウザがスクリプトを自動的にブロックします。

Header set X-XSS-Protection "1; mode=block"

1; mode=block: XSSが検出された場合、ページ全体のレンダリングをブロックします。
0: XSS保護を無効にします。

2. Content-Security-Policy (CSP)

CSPは、実行可能なスクリプトのソースを制限することでXSSを防ぎます。

Header set Content-Security-Policy "default-src 'self'; script-src 'self'"

default-src ‘self’: 自サイトから提供されるリソースのみを許可します。
script-src ‘self’: 自サイトのスクリプトのみ実行を許可します。

3. X-Content-Type-Options

ブラウザによるMIMEタイプのスニッフィングを防止し、不正なコンテンツの解釈を防ぎます。

Header set X-Content-Type-Options "nosniff"

4. Referrer-Policy

他サイトへの参照元情報の制御を行い、プライバシー保護を強化します。

Header set Referrer-Policy "no-referrer"

Apacheでのヘッダー設定手順

httpd.confまたは.htaccessを編集します。
以下のコードを追加します。

<IfModule mod_headers.c>
  Header set X-XSS-Protection "1; mode=block"
  Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
  Header set X-Content-Type-Options "nosniff"
  Header set Referrer-Policy "no-referrer"
</IfModule>

Apacheを再起動して設定を反映させます。

sudo systemctl restart apache2

設定の検証方法

設定が正しく適用されたかを確認するには、以下の方法を用います。

curl -I https://example.com

レスポンスヘッダー内に、設定したセキュリティヘッダーが表示されていれば成功です。

これらの設定は、XSS攻撃を防ぐ強力な防御策となり、Webアプリケーションの安全性を大幅に向上させます。

PHPコードでのXSS対策方法

PHPアプリケーションでは、ユーザーからの入力が直接HTMLに出力されるケースが多く、XSS（クロスサイトスクリプティング）攻撃のリスクが高まります。PHPコードレベルでのXSS対策は、アプリケーションの安全性を向上させるために必須です。ここでは、データのサニタイズやエスケープ処理を中心に、安全なPHPプログラムを書く方法を解説します。

XSS対策の基本：エスケープ処理

ユーザー入力をそのままHTMLに出力することは、XSS攻撃を許す最大の要因です。エスケープ処理を施すことで、スクリプトの実行を防止できます。

1. htmlspecialchars関数を利用する

htmlspecialcharsは、HTMLの特殊文字をエスケープするPHP関数です。

<?php
$input = '<script>alert("XSS")</script>';
echo htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
?>

ENT_QUOTES：シングルクオートとダブルクオートの両方をエスケープします。
UTF-8：文字コードを指定し、エンコーディングの問題を防止します。

2. htmlentities関数を利用する

htmlentitiesはhtmlspecialcharsと似ていますが、全てのHTML特殊文字をエスケープします。

<?php
echo htmlentities($input, ENT_QUOTES, 'UTF-8');
?>

データサニタイズの重要性

データサニタイズは、不正なデータを削除または無害化する処理です。

1. strip_tags関数でHTMLタグを除去

strip_tagsを使うことで、HTMLタグを除去できます。ただし、完全なXSS対策にはなりません。

<?php
$input = '<b>Hello</b> <script>alert("XSS")</script>';
echo strip_tags($input);
?>

出力例：

Hello alert("XSS")

2. filter_input関数で入力データをフィルタリング

filter_input関数を使って、ユーザー入力をフィルタリングします。

<?php
$input = filter_input(INPUT_GET, 'username', FILTER_SANITIZE_STRING);
echo htmlspecialchars($input, ENT_QUOTES, 'UTF-8');
?>

FILTER_SANITIZE_STRING：HTMLタグを削除し、安全な文字列だけを残します（PHP8.1以降は非推奨）。

データベースへの格納時の対策

SQLインジェクションと同様に、XSS対策としてプリペアドステートメントを使用することが推奨されます。

<?php
$stmt = $pdo->prepare("INSERT INTO comments (content) VALUES (:content)");
$stmt->bindValue(':content', htmlspecialchars($input, ENT_QUOTES, 'UTF-8'));
$stmt->execute();
?>

テンプレートエンジンの活用

SmartyやTwigなどのテンプレートエンジンは、自動でエスケープ処理を行うため、XSS対策として効果的です。

{{ user_input|escape }}

これらの対策を組み合わせることで、PHPアプリケーションのXSS耐性を強化し、ユーザーの安全を守ることができます。

HTML出力時のエスケープ処理と具体例

ユーザー入力をそのままHTMLに出力することは、XSS（クロスサイトスクリプティング）攻撃のリスクを高めます。PHPでは、出力時にエスケープ処理を行うことで、不正なスクリプトの実行を防止できます。本セクションでは、エスケープ処理の重要性と具体的な実装方法を詳しく解説します。

エスケープ処理の基本

HTMLに直接埋め込むデータは、必ずエスケープ処理を行う必要があります。これにより、タグやスクリプトが文字列として解釈され、意図しないスクリプト実行を防止します。

htmlspecialchars関数の使い方

PHPでエスケープ処理を行う最も一般的な方法はhtmlspecialchars関数です。この関数は、HTMLの特殊文字を変換して、ブラウザがタグとして解釈することを防ぎます。

例：エスケープ処理前

<?php
$comment = '<script>alert("XSS");</script>';
echo "コメント: $comment";
?>

出力結果

コメント: <script>alert("XSS");</script>

このままだと、ブラウザ上でスクリプトが実行されてしまいます。

例：エスケープ処理後

<?php
$comment = '<script>alert("XSS");</script>';
echo "コメント: " . htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');
?>

出力結果

コメント: &lt;script&gt;alert("XSS");&lt;/script&gt;

これにより、スクリプトが実行されず、安全に出力されます。

htmlspecialcharsのパラメータ

htmlspecialcharsには以下のパラメータが使用できます。

第1引数：エスケープしたい文字列
第2引数（オプション）：変換モード（ENT_QUOTESを推奨）
第3引数（オプション）：文字エンコーディング（UTF-8を推奨）

htmlspecialchars($string, ENT_QUOTES, 'UTF-8');

ENT_QUOTES：シングルクオート（’）とダブルクオート（”）の両方をエスケープします。
UTF-8：UTF-8エンコードを使用して、多言語対応を行います。

strip_tags関数との併用

strip_tags関数を使うと、HTMLタグを完全に除去できます。ただし、タグを除去するだけで、属性の中に仕込まれたスクリプトは防げません。

<?php
$input = '<b>Hello</b> <script>alert("XSS")</script>';
echo strip_tags($input);
?>

出力例

Hello alert("XSS")

タグは削除されますが、スクリプトの一部が残るため、htmlspecialcharsと併用することが重要です。

フォーム入力のエスケープ例

フォームからのデータを安全に表示する方法を示します。

<?php
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);
?>
<form method="post">
  名前: <input type="text" name="name" value="<?php echo htmlspecialchars($name, ENT_QUOTES, 'UTF-8'); ?>">
</form>

これにより、フォームから受け取った値がエスケープされ、安全に出力されます。

エスケープ処理のベストプラクティス

出力時に必ずエスケープ：データの保存時ではなく、HTMLに出力する際にエスケープを行います。
エスケープ関数の徹底活用：htmlspecialcharsやhtmlentitiesを積極的に利用します。
テンプレートエンジンの活用：TwigやBladeなどのテンプレートエンジンを使用することで、自動的にエスケープが行われます。

適切なエスケープ処理を行うことで、XSS攻撃のリスクを大幅に低減し、安全なPHPアプリケーションを構築できます。

ユーザー入力の検証とサニタイズ

ユーザーからの入力はXSS（クロスサイトスクリプティング）攻撃の主要な経路となるため、検証（Validation）とサニタイズ（Sanitization）が不可欠です。不正なデータを事前に排除することで、PHPアプリケーションのセキュリティが強化されます。本セクションでは、PHPでのユーザー入力の検証とサニタイズの具体的な方法を解説します。

検証（Validation）とサニタイズ（Sanitization）の違い

検証（Validation）：データが特定の条件を満たしているか確認します（例：メールアドレス形式のチェック）。
サニタイズ（Sanitization）：データから不要な文字や危険なスクリプトを除去します。

これらを併用することで、安全なデータ処理が可能となります。

PHPでの入力検証

PHPには、入力データを検証するための便利な関数が多数用意されています。

1. filter_input関数を利用する

filter_inputは、GET/POSTデータなどの入力を検証し、不正なデータを自動的に除去します。

例：メールアドレスの検証

<?php
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);
if ($email === false) {
    echo "無効なメールアドレスです。";
} else {
    echo "メールアドレス: " . htmlspecialchars($email, ENT_QUOTES, 'UTF-8');
}
?>

FILTER_VALIDATE_EMAIL：メールアドレスの形式を検証します。
検証失敗時にはfalseを返し、安全な処理が行われます。

2. 数値の検証

<?php
$age = filter_input(INPUT_GET, 'age', FILTER_VALIDATE_INT);
if ($age === false || $age < 0) {
    echo "年齢は正の整数を入力してください。";
} else {
    echo "年齢: " . (int)$age;
}
?>

FILTER_VALIDATE_INT：整数値の検証を行います。
負の数や数値以外の入力は受け付けません。

PHPでの入力サニタイズ

検証だけではXSS対策として不十分なため、サニタイズを行い、悪意のあるスクリプトを削除します。

1. filter_inputでサニタイズ

<?php
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);
echo "名前: " . htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
?>

FILTER_SANITIZE_STRING：HTMLタグを自動で除去し、安全な文字列のみを残します（PHP8.1以降は非推奨）。

2. 手動でのサニタイズ（htmlspecialchars）

<?php
$comment = $_POST['comment'] ?? '';
echo htmlspecialchars($comment, ENT_QUOTES, 'UTF-8');
?>

ユーザー入力をHTMLに出力する際には、必ずエスケープ処理を施します。

3. 特定の文字列を除去

不要なタグやスクリプトを除去する際はstr_replaceやpreg_replaceを使用します。

<?php
$input = '<script>alert("XSS")</script>';
$safe_input = str_replace('<script>', '', $input);
echo htmlspecialchars($safe_input, ENT_QUOTES, 'UTF-8');
?>

フォーム入力例とサニタイズの実装

<form method="post">
    名前: <input type="text" name="name" value="<?php echo htmlspecialchars($name ?? '', ENT_QUOTES, 'UTF-8'); ?>">
    メールアドレス: <input type="email" name="email">
    <input type="submit" value="送信">
</form>

<?php
if ($_SERVER['REQUEST_METHOD'] === 'POST') {
    $name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_STRING);
    $email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);

    if ($name && $email) {
        echo "登録完了: " . htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
    } else {
        echo "入力エラーがあります。";
    }
}
?>

ベストプラクティス

検証とサニタイズを併用して安全なデータ処理を行う。
出力時に必ずhtmlspecialcharsでエスケープする。
不正データが入力された場合は、エラーメッセージを表示して処理を中断する。

これにより、XSS攻撃を未然に防ぎ、安全なPHPアプリケーションを構築できます。

実際のApache設定例とデモコード

Apacheの設定ファイル（httpd.confや.htaccess）を利用することで、XSS（クロスサイトスクリプティング）対策をサーバーレベルで行うことが可能です。ここでは、ApacheでXSS対策を強化するための具体的な設定例と、それを動作確認するためのデモコードを紹介します。

.htaccessでのXSS対策設定例

.htaccessを使えば、アプリケーションのコードを変更せずに、Webサーバー全体でXSS対策を実装できます。

例：.htaccessでセキュリティヘッダーを設定する

<IfModule mod_headers.c>
    # XSS保護を有効にする
    Header set X-XSS-Protection "1; mode=block"

    # Content Security Policy (CSP)の設定
    Header set Content-Security-Policy "default-src 'self'; script-src 'self'"

    # MIMEスニッフィング防止
    Header set X-Content-Type-Options "nosniff"

    # Referrerポリシーの設定
    Header set Referrer-Policy "no-referrer"
</IfModule>

X-XSS-Protection：ブラウザのXSSフィルターを有効にして、攻撃を検出した際にページのレンダリングをブロックします。
Content-Security-Policy：スクリプトの実行元を制限します。'self'により、自サイトのスクリプトのみ実行可能になります。
X-Content-Type-Options：MIMEタイプのスニッフィングを防止し、不正なファイル解釈を防ぎます。
Referrer-Policy：リファラ情報を外部サイトに送信しない設定です。

httpd.confでの設定例

Apacheのメイン設定ファイルであるhttpd.confにも同様の記述が可能です。

<IfModule mod_headers.c>
    Header always set X-XSS-Protection "1; mode=block"
    Header always set Content-Security-Policy "default-src 'self'; script-src 'self'"
    Header always set X-Content-Type-Options "nosniff"
</IfModule>

.htaccessと同様ですが、こちらはサーバーレベルでの設定となり、すべてのドメインやバーチャルホストに適用されます。

動作確認用のPHPデモコード

以下のPHPスクリプトは、XSS攻撃がブロックされるか確認するためのデモコードです。

例：XSS攻撃を試みるスクリプト

<?php
echo '<h1>XSSテストページ</h1>';
echo '名前: ' . $_GET['name'];
?>

URLパラメータで次のようにアクセスします：

http://example.com/xss.php?name=<script>alert('XSS')</script>

エスケープ前の出力例

名前: <script>alert('XSS')</script>

スクリプトがそのまま実行されてしまいます。

エスケープ処理を加えた場合

<?php
echo '<h1>XSSテストページ</h1>';
echo '名前: ' . htmlspecialchars($_GET['name'], ENT_QUOTES, 'UTF-8');
?>

出力例

名前: &lt;script&gt;alert('XSS')&lt;/script&gt;

スクリプトが実行されず、タグがそのまま表示されます。

Apache設定が適用されているか確認する方法

ターミナルで次のコマンドを実行し、レスポンスヘッダーを確認します。

curl -I https://example.com

以下のようなヘッダーが確認できれば、設定が適用されています。

X-XSS-Protection: 1; mode=block
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: no-referrer

注意点

mod_headersが有効であることを確認してください。

sudo a2enmod headers
sudo systemctl restart apache2

CSP（Content Security Policy）は柔軟に設定できますが、誤った設定を行うと、必要なスクリプトまでブロックされる可能性があります。まずは簡単なポリシーから始め、必要に応じてカスタマイズしてください。

このようにApacheの設定を活用することで、XSS対策を強化し、安全なWebアプリケーション環境を構築できます。

XSS対策のテストと検証方法

XSS（クロスサイトスクリプティング）対策が正しく機能しているかを確認するには、テストと検証が必要です。攻撃シナリオを模倣し、対策が適切に動作するかを確認することで、セキュリティの抜け穴を早期に発見できます。本セクションでは、Apacheで設定したXSS対策をテストする具体的な方法を解説します。

1. 簡易的なXSSテストコードの作成

XSS攻撃が防止されているか確認するために、テスト用のPHPスクリプトを用意します。

xss_test.php

<?php
echo '<h1>XSSテストページ</h1>';
$name = $_GET['name'] ?? 'ゲスト';
echo 'こんにちは、' . htmlspecialchars($name, ENT_QUOTES, 'UTF-8');
?>

このスクリプトは、URLパラメータで渡された名前をHTMLとして出力します。htmlspecialcharsを使うことで、スクリプトが無害化されます。

2. テストシナリオ

以下の方法でXSS攻撃がブロックされているか確認します。

1. URL経由でスクリプトを挿入

以下のURLにアクセスし、スクリプトがブロックされるか確認します。

http://example.com/xss_test.php?name=<script>alert('XSS')</script>

期待される結果

こんにちは、&lt;script&gt;alert('XSS')&lt;/script&gt;

スクリプトがそのまま文字列として表示されれば、XSS対策が機能しています。

2. Apacheヘッダーのテスト

Apacheのセキュリティヘッダーが正しく設定されているか確認します。

curl -I https://example.com

期待されるヘッダー例

X-XSS-Protection: 1; mode=block
Content-Security-Policy: default-src 'self'; script-src 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: no-referrer

特にX-XSS-ProtectionやContent-Security-Policyのヘッダーが確認できれば、サーバーレベルでXSS攻撃がブロックされる設定が適用されています。

3. ブラウザ開発者ツールでの確認

ブラウザの開発者ツールを開きます（F12キーまたは右クリックで「検証」）。
「ネットワーク」タブを選択し、ページをリロードします。
XSSテストページにアクセスした際に、X-XSS-Protectionなどのセキュリティヘッダーが含まれていることを確認します。

4. OWASP ZAPを使った自動テスト

OWASP ZAP（Zed Attack Proxy）は、Webアプリケーションの脆弱性をスキャンするためのオープンソースツールです。自動でXSS攻撃を模倣し、脆弱性を検出できます。

インストール方法

sudo apt install zaproxy

基本的な使い方

ZAPを起動し、「ターゲット」にテストしたいURLを入力します。
「攻撃開始」をクリックすると、自動でXSSテストが行われます。
検出されたXSSの脆弱性が表示されるため、対策を講じます。

5. テストの自動化

定期的にXSS対策を検証するために、自動化スクリプトを作成してセキュリティチェックをルーチン化します。

自動テストスクリプト例

#!/bin/bash
URL="https://example.com/xss_test.php?name=<script>alert('XSS')</script>"
RESPONSE=$(curl -s $URL)

if echo "$RESPONSE" | grep -q "<script>"; then
  echo "XSS脆弱性が検出されました。"
else
  echo "XSS対策は有効です。"
fi

このスクリプトはXSSの脆弱性を検出した場合に警告を出力します。

6. XSSテストにおける注意点

テスト環境で実施する：本番環境でXSSテストを行うと、予期せぬ動作を引き起こす可能性があります。必ずテスト環境で実施してください。
複数の方法で検証：反射型XSS、格納型XSS、DOMベースXSSなど、さまざまな攻撃手法を想定してテストを行います。
セキュリティアップデートを徹底：ApacheやPHPのバージョンを常に最新に保ち、脆弱性が修正されたアップデートを適用します。

これらのテストを定期的に行うことで、XSS攻撃に対する防御を強化し、セキュアなWebアプリケーションを維持できます。

まとめ

本記事では、ApacheとPHPを活用したクロスサイトスクリプティング（XSS）対策の具体的な方法について解説しました。XSSは、ユーザーのセキュリティを脅かす深刻な脆弱性であり、サーバーレベルのApache設定とPHPコードレベルの両面から対策を施すことで、効果的に防御できます。

Apacheでは、セキュリティヘッダー（X-XSS-Protection、Content-Security-Policy）を設定し、サーバーレベルでスクリプトの実行をブロックする方法を紹介しました。また、PHPではhtmlspecialcharsやfilter_inputを活用して、ユーザー入力をサニタイズし、安全なHTML出力を行うことが重要です。

最後に、XSS対策のテストと検証を通じて、設定が正しく動作しているかを確認するプロセスを解説しました。OWASP ZAPなどのツールを活用し、定期的にXSSスキャンを実施することで、より堅牢なWebアプリケーションを維持できます。

セキュリティ対策は一度行えば終わりではなく、継続的な検証と改善が求められます。適切なXSS対策を講じ、安全なWeb環境を構築しましょう。