HTML 防止 URL XSS 攻击：安全编码、验证和策略

在 HTML 中，可以使用以下方法来防止 URL XSS 攻击：

1. 对 URL 进行编码，使用 HTML 实体转义字符来代替特殊字符。例如，将‘<’替换为‘<’，将‘>’替换为‘>’。

2. 对 URL 进行验证和过滤，只允许特定的协议和域名，并且排除可能导致 XSS 的字符和字符串。

3. 在服务器端对 URL 进行过滤和检查，禁止包含恶意代码的 URL 访问。

4. 在页面中使用 CSP（内容安全策略），限制页面中可以加载的资源，以防止任何未经授权的脚本执行。

5. 在网站的 HTTP 响应头中设置 X-XSS-Protection 标头，以启用浏览器内置的 XSS 过滤器。例如，在 Apache 服务器上，可以添加以下代码来启用此功能：

Header set X-XSS-Protection '1; mode=block'