ブラウザのXSSフィルタはどうなったのか(2020/08/14 時点)

ブラウザのXSSフィルタを有効にするために、 X-XSS-Protection レスポンスヘッダーでブラウザの設定を上書きして有効にするという内容が徳丸本のp 135にでてきます。

XSSフィルターってどういう機能なんだろうと調べてみたところ、下記記事にある通り、2020/08/14 現在だとほとんどのブラウザでなくなったりしていることがわかりました。

Chrome

ChromeではXSS Auditorという名前でXSSフィルターを実装していましたが、Chrome 78でこの機能が削除されました。

で、この機能の代わりにChrome 83で Trusted Types という新しい機能をリリースしています。

使い方は下記を参考にするとよさそうです。

Firefoxは X-XSS-Protection レスポンスヘッダーを使ったXSSフィルターは実装していないですね。

Safariは2020/08/14でも使えてそうですね。

EdgeだとXSSフィルターは削除されています。 IEはまだ使えてそうですね。