以下のようなHTML断片を含むものをウェブアプリが出力するものとします。charsetとかはきちんとサーバ側で付与します。$userdataの元ネタはユーザが入力したものですので、XSSがイヤなので、出力に当たっては、すべての文字を例外なく文字参照してしまう所謂…