xss防御策略

XSS（跨站脚本攻击）是指攻击者通过注入恶意脚本（如JavaScript）到网页中，当用户访问该页面时，脚本在用户浏览器中执行，从而窃取信息、劫持会话、篡改页面等。防御XSS需要从输入验证、输出编码、环境限制、安全配置等多个层面构建纵深防御体系，以下是具体策略：

一、输入验证：从源头过滤恶意内容

输入验证是防御XSS的第一道防线，核心是只接受“预期内”的输入，拒绝不符合规则的内容。

• 明确输入规则：根据业务场景定义输入的类型（如数字、字符串）、长度（如用户名不超过20字符）、格式（如邮箱需符合xxx@xxx.xxx），不符合则直接拒绝。
  例：手机号只能是11位数字，输入包含字母或特殊字符时直接报错。

• 前后端双重验证：前端验证（如表单校验）可提升用户体验，但易被绕过（如修改请求包），必须在后端重复验证，确保输入安全。

• 过滤危险字符：对输入中的<、>、&、"、'等特殊字符进行初步过滤（但需结合输出编码，单独过滤不彻底）。

二、输出编码：根据上下文安全展示内容

XSS的核心危害是“恶意脚本被浏览器解析执行”，因此需根据输出的上下文场景（如HTML、JavaScript、URL等）对内容进行编码，将“可执行的脚本”转为“纯文本”。