XSS防护需多层防御，首先对用户输入进行白名单验证，避免黑名单过滤，在服务端和前端同时校验；其次在输出时根据上下文编码，使用DOMPurify清理富文本，优先用textContent替代innerHTML，防止脚本注入；然后启用CSP策略，通过HTTP头限制资源加载，禁止内联脚本和eval，使用nonce或hash机制控制脚本执行，并配置report-uri收集攻击信息；最后加强Cookie安全，设置HttpOnly、Secure和SameSite属性以保护会话。结合自动化工具与定期审计，形成完整防护体系。
面对XSS（跨站脚本攻击），JavaScript的安全实践至关重要。这类攻击通过在网页中注入恶意脚本，盗取用户数据、劫持会话或执行未经授权的操作。要有效防护，必须从输入处理、输出编码、内容安全策略等多方面入手。以下是全面的XSS防护指南。
正确处理用户输入
用户输入是XSS攻击的主要入口。任何来自用户的数据都应被视为不可信，包括表单字段、URL参数、API请求体和HTTP头。
安全地输出到页面
即使输入合法，输出时仍可能触发XSS。关键在于根据上下文对数据进行正确的编码。
- 插入HTML内容时，使用DOMPurify等库清理富文本，移除script、onerror等危险标签和属性
- 将数据插入到HTML标签内文本时，用textContent代替innerHTML
- 在JavaScript字符串中嵌入用户数据时，确保已转义引号和特殊字符
- 动态设置URL时，验证协议是否为http(s)，防止javascript:伪协议执行
启用内容安全策略（CSP）
CSP是防御XSS的重要纵深防线，能限制页面可加载的资源和执行的脚本。
立即学习“Java免费学习笔记（深入）”；
- 设置HTTP头Content-Security-Policy，例如：default-src 'self'; script-src 'self' https://trusted-cdn.com;
- 禁止内联脚本（'unsafe-inline'）和eval类执行方式
- 使用nonce或hash机制允许特定的内联脚本执行
- 报告违规行为：添加report-uri或report-to指令收集潜在攻击尝试
合理使用Cookie和会话保护
减少攻击成功后的损失，需加强会话安全性。
- 为敏感Cookie设置HttpOnly标志，防止JavaScript访问
- 启用Secure标志，确保Cookie仅通过HTTPS传输
- 使用SameSite属性（推荐Strict或Lax）防范CSRF，间接降低XSS危害
基本上就这些。XSS防护不是单一措施能解决的，而是需要层层设防。开发过程中保持警惕，结合自动化检测工具（如Snyk、ESLint插件）和定期审计，才能构建更安全的Web应用。不复杂但容易忽略。
