総合演習：答え合わせ

この診断対象に仕込まれている脆弱性は次のとおり。自分の発見と照合し、 簡易レポート（種類・再現手順・影響・対策）にまとめる練習をする。

仕込まれている脆弱性

1. 反射型XSS（検索）: 検索キーワードをエスケープせず出力している。 再現: 検索欄に <script>alert(1)</script>。 対策: 出力時に htmlspecialchars。
2. IDOR（認可不備）（メモ表示）: ?id= に所有者チェックが無く、 他人のメモ（例: 人事メモ）が見える。再現: ?id=2。 対策: リソースごとに本人のものかサーバー側で確認。
3. 蓄積型XSS（メモ追加→表示）: 本文の扱い次第で、保存した内容が 表示時に実行されうる（このアプリでは表示側でエスケープしているが、 検索結果の反射経路が残る）。対策: 出力箇所すべてでエスケープ。

診断では「指摘された箇所だけ直す」のではなく、なぜ生まれたか（根本原因） ＝「出力時エスケープの徹底」「認可はサーバー側で毎回」という原則で捉える。

診断対象に戻る