编辑“︁JavaScript安全编码”︁（章节）

=== 1. 跨站脚本攻击（XSS） ===

XSS攻击是指攻击者通过注入恶意脚本到网页中，使其在用户浏览器中执行。XSS分为三种类型：
* '''存储型XSS'''：恶意脚本存储在服务器上。
* '''反射型XSS'''：恶意脚本通过URL参数传递并反射回页面。
* '''DOM型XSS'''：恶意脚本通过修改DOM结构执行。

==== 防御措施 ====
* 对用户输入进行转义或编码。
* 使用Content Security Policy（CSP）限制脚本执行。
* 避免使用`innerHTML`直接插入未过滤的内容。

==== 代码示例 ====
<syntaxhighlight lang="javascript">
// 不安全的做法
document.getElementById("output").innerHTML = userInput;

// 安全的做法：使用textContent代替innerHTML
document.getElementById("output").textContent = userInput;
</syntaxhighlight>