イベントハンドラ等でのスクリプトを禁止するために、"javascript" や "vbscript" のような、ブラックリストに合致する文字列が含まれているかどうかを検査する方法では、XSS は防げません。 例えば <div onclick="javascript:alert('xss')">aa</div>という典型的な XSS パターンに対し、"javascript" とい…