API ตรวจชนิดและรูปแบบข้อมูลแล้ว แต่จะนำค่าเดียวกันไปใช้ใน SQL และแสดงใน HTML ชุดมาตรการใดครบถ้วนตามหลักฐาน
กตรวจชนิดและรูปแบบอินพุตอย่างละเอียดแล้ว จึงนำค่าไปต่อใน SQL และแสดงใน HTML ได้โดยตรงโดยไม่ต้องมีมาตรการอื่น
ขตรวจอินพุตและใช้ parameterized query กับ SQL แต่แสดงค่าใน HTML โดยไม่เข้ารหัสตามบริบท
คตรวจอินพุตตามข้อกำหนด ใช้ parameterized query กับ SQL และเข้ารหัสเอาต์พุตตามบริบท HTML
งตรวจอินพุตและเข้ารหัสเอาต์พุตตามบริบท HTML แต่สร้าง SQL ด้วยการต่อค่าจากผู้ใช้โดยตรง
เฉลยอธิบาย
การตรวจอินพุตช่วยคัดกรองข้อมูลที่ผิดรูปแบบหรือไม่ตรงกฎธุรกิจ แต่ไม่แทนการป้องกันตามบริบท เมื่อนำข้อมูลไปใช้กับ SQL ต้องใช้ parameterized query และเมื่อแสดงใน HTML ต้องเข้ารหัสเอาต์พุตตามบริบท แนวทางที่ป้องกัน SQL แต่ไม่เข้ารหัส HTML ใกล้เคียงที่สุดแต่ยังขาดการป้องกัน XSS