Что такое Cross-Site Scripting (XSS) и как от него защититься?

XSS (Межсайтовый скриптинг) — внедрение хакером вредоносного JavaScript-кода на страницу сайта (например, в комментарий). Когда другие юзеры открывают страницу, скрипт выполняется в их браузере и крадет их токены сессии.

Методы защиты:
1. Экранирование (Escaping): Превращение спецсимволов в безопасные HTML-сущности (например, <script> превращается в <script>). Браузер выведет это как текст, а не выполнит как код.
2. Content Security Policy (CSP): HTTP-заголовок, который жестко задает белый список доменов, откуда разрешено загружать и выполнять скрипты.
3. HttpOnly Cookies: Запрещает чтение кук через JavaScript (document.cookie), защищая сессию от кражи.