什么是 XSS 攻击？如何预防？

XSS（Cross-Site Scripting）攻击是一种常见的Web应用程序安全漏洞，攻击者通过在Web应用程序中注入恶意脚本，使得这些脚本在用户浏览网页时执行，从而窃取用户的敏感信息或者实施其他恶意行为。

为了预防XSS攻击，可以采取以下几种措施：

1. 对用户输入进行过滤和验证：在Web应用程序中，对所有输入的数据进行过滤和验证，防止恶意脚本被注入。可以使用一些开源的XSS过滤器，如ESAPI和HTML Purifier。

2. 对输出进行编码：在Web应用程序中，对所有输出的数据进行编码，防止恶意脚本被执行。可以使用一些编码工具，如HTML Entity编码和JavaScript编码。

3. 使用HttpOnly Cookie：HttpOnly Cookie只能通过HTTP协议进行访问，不能通过JavaScript进行访问，防止恶意脚本窃取Cookie信息。

4. 设置CSP（Content Security Policy）：CSP是一个安全策略，可以限制Web应用程序中的资源加载和脚本执行，防止恶意脚本被注入和执行。

5. 使用HTTPS协议：HTTPS协议可以加密通信内容，防止敏感信息被窃取和篡改。