フォームの確認画面などで、入力内容のタグ「＜script＞」とかを「＆lt;script＆gt;」のように特殊文字をエスケープしてからhiddenのvalueに突っ込んでいても、渡されてくる値は再度アンエスケープされた「＜script＞」が渡されてきていました。 調べてみる…