为了避免XSS（跨站脚本攻击）注入，在JavaScript中可以采取以下几种措施：
-
对用户输入进行转义：在将用户输入的数据插入到HTML、JavaScript或其他地方之前，对特殊字符进行转义。例如，将
<转换为<，>转换为>等。 -
使用纯前端渲染：改成纯前端渲染，把代码和数据分隔开。在纯前端渲染中，明确告诉浏览器下面要设置的内容是文本（使用
.innerText），还是属性（使用.setAttribute），还是样式（使用.style）等等，这样可以避免浏览器被欺骗执行预期外的代码。 -
使用HTTP头部设置：设置
Content-Security-Policy（内容安全策略）头部可以限制资源（如脚本、图片等）的来源，减少XSS攻击的风险。此外，设置X-XSS-Protection头部可以启用浏览器内置的XSS过滤器。 -
避免使用
eval和innerHTML：eval函数可以执行字符串中的JavaScript代码，而innerHTML可以将字符串解析为HTML。这两个方法都可能导致XSS攻击，因此应当尽量避免使用它们。 -
使用模板引擎：许多现代JavaScript框架和库（如Vue.js、React等）提供了基于模板的方法来渲染数据，这些模板引擎通常会自动对数据进行转义，从而减少XSS攻击的风险。
-
验证和清理输入数据：对所有用户输入的数据进行验证，拒绝不符合预期格式的输入。使用库如DOMPurify来清理HTML内容，移除可能导致XSS攻击的代码。
-
使用安全的API：尽量使用安全的API，例如使用
textContent代替innerHTML，因为textContent会自动对特殊字符进行转义，而innerHTML则不会。
通过采取上述措施，可以显著降低JavaScript应用程序遭受XSS攻击的风险。
