XSS

1.DOM型

1.1DOM型XSS的防御方法：

DOM型XSS主要是由客户端的脚本通过DOM动态地输出数据到页面而不是依赖于将数据提交给服务器端，而从客户端获得DOM中的数据在本地执行，因而仅从服务器端是无法防御的。
其防御在于：
（1） 避免客户端文档重写、重定向或其他敏感操作，同时避免使用客户端数据，这些操作尽量在服务器端使用动态页面来实现；
（2） 分析和强化客户端JS代码，特别是受到用户影响的DOM对象，注意能直接修改DOM和创建HTML文件的相关函数或方法，并在输出变量到页面时先进行编码转义，如输出到HTML则进行HTML编码、输出到则进行JS编码。

2.XSS长度限制

方法：

3.处理富文本

4.CSP

**内容安全策略或CSP是一种内置的浏览器安全措施，用于防御跨站点脚本（XSS）等Web攻击。**该策略的规则用于定义一组浏览器可以安全地从中加载内容的路径和源，并给出相应的描述。其中，这些资源包括图像、frame、javascripts等。

2、常用的策略指令：

1.方法

2.标签预加载

3.利用浏览器补全

4.iframe

参考 https://www.jianshu.com/p/f1de775bc43e