文章讲解XSS与CSP。XSS分反射型和储存型，攻击者注入恶意脚本可盗取Cookie，防范需对HTML特殊字符转义并使用安全DOM操作。CSP是白名单机制，通过HTTP头或meta标签限制资源来源，拦截未授权脚本，作为防御XSS的最后一道防线。