Как защититься от XSS-атак?

Защита от XSS строится на нескольких уровнях: экранирование вывода (HTML-entities, URL-encode), использование Content Security Policy (CSP), установка HttpOnly/Secure на cookies, использование безопасных API вместо innerHTML, валидация и санитизация входных данных на сервере. Ни один метод в отдельности не даёт полной защиты — нужна эшелонированная оборона.