Что такое XSS

XSS (Cross-Site Scripting) — уязвимость, позволяющая злоумышленнику внедрять вредоносный код (обычно JavaScript) на страницы, которые видят другие пользователи.

Типы XSS:

1. Reflected — скрипт попадает в запрос (например, URL) и выполняется при отображении страницы.
2. Stored — вредоносный код сохраняется на сервере (например, в комментариях) и выполняется при каждом открытии страницы.
3. DOM-based — атака происходит полностью на стороне клиента через манипуляции с DOM.

Пример уязвимого кода:

// Опасный код, если `userInput` не экранирован
document.getElementById('output').innerHTML = userInput;

Защита:

• Экранирование данных (textContent вместо innerHTML)
• Использование Content Security Policy (CSP)
• Валидация и санитизация ввода
• HTTP-заголовки типа X-XSS-Protection