xss防护需多层防御，核心是不信任用户输入并转义输出；使用白名单验证数据，优先用textcontent避免innerhtml，必要时结合dompurify等库；模板引擎启用自动转义；配置csp响应头限制脚本来源，禁用unsafe-inline和unsafe-eval，采用nonce或hash机制授权内联脚本；避免eval、document.write等危险api；通过report-uri监控违规行为；全链路控制输入、输出与浏览器策略，确保各环节安全。
跨站脚本攻击（XSS）是Web应用中最常见的安全漏洞之一，攻击者通过注入恶意脚本，在用户浏览器中执行，从而窃取敏感信息、劫持会话或伪造操作。JavaScript作为前端核心语言，既是功能实现的关键，也是XSS攻击的主要载体。要有效防护XSS，必须结合输入输出处理与内容安全策略（CSP）进行多层防御。
正确处理用户输入与输出
防范XSS的核心在于：永远不要信任用户输入，并在输出到页面前进行适当转义。
- 对所有用户提交的数据（如表单、URL参数、API响应）进行验证和清理，使用白名单机制限制允许的字符或格式
- 在将数据插入HTML时，使用安全的API进行转义，例如用textContent代替innerHTML
- 若必须使用innerHTML，确保内容经过可靠的转义库处理，如DOMPurify
- 在模板引擎中启用自动转义功能，避免手动拼接HTML字符串
实施内容安全策略（CSP）
CSP是一种HTTP响应头机制，用于限制页面可以加载和执行的资源，显著降低XSS攻击的成功率。
- 设置Content-Security-Policy响应头，明确指定可执行脚本的来源，如script-src 'self'表示只允许同源脚本
- 禁止使用'unsafe-inline'和'unsafe-eval'，防止内联脚本和动态代码执行
- 引入nonce或hash机制，为合法的内联脚本提供临时授权，提升灵活性同时保持安全性
- 通过report-uri或report-to接收违规报告，便于监控和调试
避免危险的JavaScript API
某些JavaScript接口容易被滥用，应谨慎使用或替代。
立即学习“Java免费学习笔记（深入）”；
- 避免直接调用eval()、setTimeout(string)、setInterval(string)等将字符串当作代码执行的方法
- 不使用document.write()动态写入不可信内容
- 在跳转或加载外部资源时，验证URL来源，防止开放重定向引发XSS
基本上就这些。XSS防护不是单一措施能解决的问题，而是需要从数据输入、输出渲染到浏览器策略的全链路控制。结合严格的编码规范与CSP策略，能极大提升应用的安全性。不复杂但容易忽略细节，比如忘了转义某个API返回字段，就可能让整个防线失效。
