94、前端如何防止XSS攻击

参考：https://blog.youkuaiyun.com/fly910905/article/details/86644752

一、XSS攻击原理

• XSS原称为CSS(Cross-Site Scripting 跨站脚本攻击)，因为和层叠样式表(Cascading Style Sheets)重名，所以改称为XSS(X一般有未知的含义，还有扩展的含义)。
• 恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的特殊目的。

二、XSS 注入的方法 

• 在 HTML 中内嵌的文本中，恶意内容以 script 标签形成注入。
• 在内联的 JavaScript 中，拼接的数据突破了原本的限制（字符串，变量，方法名等）。
• 在标签属性中，恶意内容包含引号，从而突破属性值的限制，注入其他属性或者标签。
• 在标签的 href、src 等属性中，包含 javascript: 等可执行代码。
• 在 onload、onerror、onclick 等事件中，注入不受控制代码。
• 在 style 属性和标签中，包含类似 background-image:url("javascript:…"); 的代码（新版本浏览器已经可以防范）。
• 在 style 属性和标签中，包含类似 expression(…) 的 CSS 表达式代码（新版本浏览器已经可以防范）。

三、如何预防XSS攻击

将能被转换为html的输入内容，在写代码时改为innerText而不用innerHTML 

使用转义字符L，就是把 & < > " ' / 这几个字符转义掉，确实能起到一定的 XSS 防护作用