Как XSS-атаки работают и как от них защититься?

XSS (Cross-Site Scripting) — атака, при которой злоумышленник внедряет вредоносный JavaScript в страницу, и этот код выполняется в браузере жертвы. Три типа: Stored (сохранённый в БД), Reflected (через URL) и DOM-based (через клиентский JS). Защита: экранирование вывода, Content Security Policy, HttpOnly cookies и принцип «никогда не доверяй пользовательскому вводу».