CSRF対策として効果がないもの

CSRF（Cross-Site Request Forgery：クロスサイトリクエストフォージェリ） は、ログイン済みの正規利用者に罠サイトを閲覧させ、そのブラウザから意図しない不正なHTTPリクエスト（パスワード変更、送金、商品購入など）を標的Webサーバへ強制送信させる攻撃です。攻撃リクエストは正規の認証クッキーを伴って送信されるため、正規操作と区別するための対策が必要です。 ア：重要な処理の直前に再認証（パスワードやワンタイムパスワードの再入力）を行わせることで、罠サイトからの自動リクエストでは処理を完遂できなくなり、CSRF対策として効果的です。 イ：予測困難なトークン（CSRFトークン）を発行してリクエストごとに照合する手法（シンクロナイザトークンパターン）は、最も標準的で効果の高いCSRF対策です。 ウ：HTTPリクエストヘッダのReferer（またはOrigin）を検証して、自サイトの正規画面からのリクエストであることを確認する対策は効果があります。 エ：正解（効果がない対策）。「<」や「>」などのHTML特殊文字をエスケープ（サニタイズ）する処理は、スクリプト実行を防ぐクロスサイトスクリプティング（XSS）の対策であり、CSRFの対策としては効果がありません。

クロスサイトリクエストフォージェリ攻撃の対策として，効果がないものはどれか。

出典平成31年度 春期 情報処理安全確保支援士試験 午前Ⅱ 問10
ア
Webサイトでの決済などの重要な操作の都度，利用者のパスワードを入力させる。
イ
Webサイトへのログイン後，毎回異なる値をHTTPレスポンスに含め，Webブラウザからのリクエストごとに送付されるその値を，Webサーバ側で照合する。
ウ
Webブラウザからのリクエスト中のRefererによって正しいリンク元からの遷移であることを確認する。
エ
WebブラウザからのリクエストをWebサーバで受け付けた際に，リクエストに含まれる“<”や“>”などの特殊文字を，タグとして認識されない“&lt;”や“&gt;”などの文字列に置き換える。