什么是 XSS 攻击，如何避免？
XSS（Cross-Site Scripting）攻击是一种在网页上注入恶意脚本，使之在其他用户的浏览器上运行的攻击方式。当用户浏览这个含有恶意脚本的网页时，恶意脚本就会在用户的浏览器上执行，从而进行各种恶意操作，如窃取用户信息，篡改网页内容等。
以下是几种常用的防止XSS攻击的方法：
- 转义用户输入：对所有用户输入的数据进行转义处理（escaping），使得这些内容被浏览器解析为纯文本，而不是脚本代码。例如，可以把字符
<和>转义为<和>，这样就可以防止恶意用户提交含有脚本的内容。 -
内容安全策略（Content Security Policy, CSP）：CSP是一种浏览器安全机制，可以限制网页加载和执行的资源。例如，可以设置CSP只允许加载和执行来自于当前域名的脚本，这样就可以有效防止XSS攻击。
-
输入验证：对所有用户输入的数据进行验证，检查是否含有可能引发XSS攻击的字符或字符串，如
<script>等，如果有，就拒绝接受。 -
使用HTTP-only Cookies：将敏感的会话cookie设置为HTTP-only，这样JavaScript就无法读取到cookie。即便XSS攻击发生，攻击者也无法窃取这些cookie。
-
避免使用不安全的API：部分JavaScript API，如
eval，document.write，innerHTML，outerHTML等，可能会导致XSS攻击，应尽量避免使用。
请注意，以上方法最好同时使用，以提供更强的安全保护。