UTF-7を利用したXSSは，HTTPレスポンスヘッダにて
Content-Type: text/html; charset=UTF-8
Content-Type: text/html; charset=Shift_JIS
Content-Type: text/html; charset=EUC-JP
のいずれかを出力することで完全に防ぐことができます。本当は怖い文字コードの話：第1回　UTF-7によるクロスサイトスクリプティング攻撃［前編］｜gihyo.jp … 技術評論社