> > さっきも貼ったけど、
> >  $str =~ s/&/&/g;
> >  $str =~ s/</&lt;/g;
> >  $str =~ s/>/&gt;/g;
> >  $str =~ s/\"/&quot;/g;
> >  $str =~ s/\'/&#39;/g;
> > これらをQUERY_STRINGに対して行うとかじゃないのか
> それじゃきかない

効かないね
というかその辺の処理はたぶん既に入ってる
＞比較的新しい攻撃方法に、不完全なマルチバイト文字列を送信することで
＞HTMLに記述されているクォートを無効化する方法があります。この攻撃は
＞HTML エスケープのみでは防げない事に注意が必要です。

参考：2008/09/27(土)04時45分16秒