防范XSS攻击需严格处理用户输入并进行输出编码，首先对表单、URL参数等不可信数据实施白名单验证与长度限制，并在服务端完成核心校验；其次在渲染时优先使用textContent而非innerHTML，若需插入HTML则通过DOMPurify净化内容；同时设置CSP、X-XSS-Protection及HttpOnly Cookie等安全响应头，避免使用eval、document.write等危险API，坚持不信任输入、输出转义和脚本执行限制原则。
防范JavaScript中的安全漏洞，特别是跨站脚本攻击（XSS），关键在于对用户输入进行严格处理和输出编码。XSS攻击的本质是攻击者将恶意脚本注入网页，当其他用户浏览时，脚本在他们的浏览器中执行，从而窃取信息或冒充用户操作。
对用户输入进行验证和过滤
任何来自用户的输入都应被视为不可信的，包括表单数据、URL参数、API请求等。
对输出内容进行HTML编码
当把用户输入的内容显示在页面上时，必须进行转义，防止浏览器将其解析为HTML或JavaScript代码。
- 使用DOMPurify等库清理HTML内容，只保留安全标签和属性
- 在插入到页面前，用textContent代替innerHTML，避免直接渲染HTML
- 如果必须使用innerHTML，确保内容经过充分净化
设置安全的HTTP响应头
利用浏览器的安全机制来增强防护能力。
立即学习“Java免费学习笔记（深入）”；
- 启用Content-Security-Policy (CSP)，限制页面只能加载指定来源的脚本，有效阻止内联脚本执行
- 设置X-XSS-Protection: 1; mode=block，开启浏览器内置的XSS过滤器
- 使用HttpOnly标记Cookie，防止JavaScript访问敏感Cookie，降低会话劫持风险
避免危险的JavaScript操作
某些JS API容易被滥用，应谨慎使用。
- 避免使用eval()、new Function()执行动态代码
- 不直接使用location.href、document.write()拼接用户数据
- 使用addEventListener而非内联事件处理器（如onclick=""）
基本上就这些。只要坚持“不信任用户输入、输出必转义、限制脚本执行”的原则，大多数XSS漏洞都能有效避免。
