Я тоже недавно вникал в тему защиты от XSS, чтобы поймать всякие дырки в комментариях на своих сайтах. Запустил ручное тестирование через браузер и парочку автоматических сканеров, но ощущение, что что-то пробегает мимо. Автоинструменты обычно видят примитивные инъекции, но я не раз натыкался на скрытые скрипты, например, между span или input, которые они пропускают. Прогонял разные payload’ы – с кавычками, без, с разной кодировкой, но проблема как раз в парсинге, который браузер делает иначе, чем серверная проверка.

Еще ставил Content Security Policy, но эта штука срабатывает по-разному в разных браузерах, да и умельцы находят лазейки. Вот тоже интересно, кто как комплексно тестит XSS на блоговых движках, особенно самописных. Берете ли сторонние инструменты или пишете под себя парсеры, учитывающие контекст? И главное - как быть уверенным, что все дыры реально прикрыты, если баги не вылезают сразу, а спустя время?

Будет интересно услышать живые кейсы, а не теорию, потому что массовые сканеры и популярные фреймворки по части сложных XSS пока не внушают доверия.