🛡️ 网站安全第一课：防御最常见的 Web 攻击——XSS 跨站脚本

什么是 XSS 攻击？

跨站脚本攻击（XSS）是攻击者将恶意脚本注入到网站，当用户访问时，脚本在用户浏览器中执行，从而盗取用户 Cookie、会话令牌甚至进行页面劫持。它是 Web 安全领域最常见且危害最大的漏洞之一。

🔑 三大防御策略：

输入验证 (Input Validation)

在接收用户输入时，严格限制字符类型、长度和格式，从源头阻止恶意代码。

输出编码 (Output Encoding)

在将用户输入的内容显示到页面之前，进行 HTML 实体编码，将 `<` 转换为 `<`，使浏览器将脚本视为普通文本而非代码执行。

内容安全策略 (CSP)

通过 HTTP 响应头配置 CSP，限制浏览器只能从指定的源加载资源，这是 XSS 防御的终极手段。

请注意： 任何包含用户输入的页面都可能存在 XSS 风险，特别是评论区和表单。