# XSS フォールスポジティブを処理する
<a name="handle-xss-false-positives"></a>

このソリューションでは、受信リクエストでよく調べられる要素を検査して XSS 攻撃を特定してブロックする AWS WAF ルールを設定します。この検出パターンは、コンテンツ管理システムのリッチテキストエディタなどで HTML を作成し送信することをユーザーに許可しているワークロードでは、あまり効果的ではありません。このシナリオでは、リッチテキスト入力を受け入れる特定の URL パターンに対してデフォルトの XSS ルールをバイパスする例外ルールを作成し、除外された URL を保護する代替のメカニズムを実装することを検討してください。

さらに、一部の画像またはカスタムデータ形式では、HTML コンテンツに潜在的な XSS 攻撃を示すパターンが含まれているため、誤検出が発生する可能性があります。例えば、SVG ファイルには `<script>` タグが含まれる場合があります。このタイプのコンテンツが正当なユーザーから得られることが予想される場合は、これらの他のデータ形式を含む HTML リクエストを許可するように XSS ルールを細かく調整します。

次の手順に従い、HTML をインプットとして受け入れる URL を除外するために XSS ルールを更新します。詳細な手順については、「[Amazon WAF 開発者ガイド](https://docs.aws.amazon.com/waf/latest/developerguide/)」を参照してください。

1. [AWS WAF コンソール](https://console.aws.amazon.com/wafv2/)にサインインします。

1.  [文字列一致または正規表現条件を作成します](https://docs.aws.amazon.com/waf/latest/developerguide/getting-started.html#getting-started-wizard-create-string-condition)。

1. URI を検査し、XSS ルールに対して受け入れる値をリストするようにフィルター設定を構成します。

1. このソリューションの **XSS ルール**を編集し、作成した[新しい条件を追加](https://docs.aws.amazon.com/waf/latest/developerguide/getting-started.html#getting-started-wizard-create-rule)します。

   例えば、リスト内のすべての URL を除外するには、**When a request** に対して以下を選択します。
   +  **does not** 
   +  **match at least one of the filers in the string match condition** 
   +  **XSS Allowlist**