Введение
XSS (Cross-Site Scripting) — одна из самых распространённых веб-уязвимостей, которая позволяет злоумышленникам внедрять вредоносные скрипты прямо в страницы сайта. Для тех, кто развивает свои проекты, важно понимать, как не дать этим скриптам пройти через ваши формы ввода и другие места. Расскажу, что помогает мне в защите от XSS и на что стоит обратить внимание сразу.

Что это такое
XSS — это когда на сайте появляется возможность вставить и выполнить свой JavaScript код. Например, если у вас есть поле комментариев, и кто-то туда вставляет скрипт, который выполняется у других посетителей. Есть три типа XSS: отражённый (reflected), сохранённый (stored) и DOM-based. Все они по сути приводят к тому, что чужой код запускается на стороне пользователя, что опасно для безопасности и репутации сайта.

Где применяется
XSS чаще всего встречается на динамических страницах — блоги, форумы, формы обратной связи, поисковики, везде, где принимаются данные от пользователей. Особенно уязвимы сайты на популярных CMS, если не настроена фильтрация ввода. Также баг может проскользнуть в веб-приложениях с большим количеством клиентского взаимодействия, где активно используется JavaScript.

Практические примеры
1) Отображение пользовательских данных без экранирования.
2) Загрузка комментариев на страницу без фильтров.
3) Динамическое создание HTML из user input без проверки.

Например, я сталкивался с тем, что на сайте, где не экранируется тег <script>, пользователь мог вставить alert() — очевидный, но действенный тест для XSS. Через эту дыру потенциально можно украсть cookies, внедрить фишинговые формы или просто испортить контент.

Типичные ошибки
- Не использовать функции экранирования ввода (htmlspecialchars в PHP, encodeURIComponent в JS).
- Доверять клиентскому коду (например, допустим, что проверка на фронте — она всегда может быть обойдена).
- Хранить «сырые» данные без фильтрации в базе.
- Игнорировать Content Security Policy (CSP) — простая защита, которую легко внедрить, но часто забывают.
- Писать сложные шаблоны вручную вместо проверенных библиотек.

Полезные инструменты
- OWASP ZAP и Burp Suite — сканеры, которые помогут отловить XSS.
- Content Security Policy — настраиваемая политика, которая запретит выполнение неподписанных скриптов.