window怎么防御xss攻击

输入过滤：对于用户输入的内容进行过滤，去除恶意脚本。可以使用一些现成的过滤库，如OWASP ESAPI。

输出编码：对于输出到页面的内容进行编码，使恶意脚本失效。可以使用HTML编码、URL编码、JavaScript编码等。

CSP（Content Security Policy）：在HTTP头中添加CSP策略，限制页面能加载哪些外部资源。可以限制只加载本站资源、只加载特定域名的资源等。

HttpOnly Cookie：将Cookie标记为HttpOnly，禁止JavaScript访问Cookie，防止恶意脚本窃取Cookie信息。

避免使用eval()：eval()函数会执行任何传递给它的字符串，容易被恶意脚本利用。可以使用JSON.parse()等替代方案。

避免使用innerHTML：innerHTML可以将字符串转换为HTML元素，并插入到页面中，容易被恶意脚本利用。可以使用createElement()等替代方案。

HTTPS：使用HTTPS协议，加密数据传输，防止中间人攻击和数据窃取。