XSS中文名称：跨站脚本攻击，就是通过向网站写入js脚本来实现攻击。攻击者在Web页面里插入恶意html代码，当用户浏览该网页时，嵌入其中代码会被执行，从而达到攻击用户的目的。
举一个例子，我在一个博客网站正常发表一篇文章，输入汉字、英文和图片，完全没有问题。但是如果我写的是恶意的 JS 脚本，例如获取到document.cookie然后传输到自己的服务器上，那我这篇博客的每一次浏览都会执行这个脚本，都会把访客 cookie 中的信息偷偷传递到我的服务器上来。
攻击过程：
其实原理上就是黑客通过某种方式（发布文章、发布评论等）将一段特定的 JS 代码隐蔽地输入进去。然后别人再看这篇文章或者评论时，之前注入的这段 JS 代码就执行了。JS 代码一旦执行，那可就不受控制了，因为它跟网页原有的 JS 有同样的权限，例如可以获取 server 端数据、可以获取 cookie 等。于是，攻击就这样发生了。
防御方法：
最根本的方式，就是对用户输入的内容进行验证和替换，需要替换的字符有：123456& 替换为：&< 替换为：<> 替换为：>” 替换为："‘ 替换为：'/ 替换为：/
替换了这些字符之后，黑客输入的攻击代码就会失效，XSS 攻击将不会轻易发生。
除此之外，还可以通过对 cookie 进行较强的控制，比如对敏感的 cookie 增加http-only限制，让 JS 获取不到 cookie 的内容。