文章介绍XSS跨站脚本攻击：攻击者向网页注入恶意脚本，在用户浏览器中执行以窃取Cookie等信息。类型包括反射型、存储型、DOM型和JSONP型，区别在于注入位置与是否持久。防御核心是输入过滤与输出转义，对HTML、JS、CSS、URL分别编码，并配合严格的Content-Type、CSP等安全响应头、HttpOnly Cookie、验证码，以及使用模板引擎、避免内联事件和拼接HTML。