XSS攻击是什么？它有哪些类型？

XSS攻击（Cross-Site Scripting）是一种常见的网络安全漏洞，它允许攻击者向网页中注入恶意脚本，从而在用户的浏览器中执行恶意代码。XSS攻击可以导致用户信息泄露、会话劫持、恶意操作等安全问题。

XSS攻击有三种主要类型：

1. 存储型XSS（Stored XSS）：攻击者将恶意脚本存储在服务器上，通常是在数据库或文件系统中。当用户访问包含恶意脚本的页面时，这些脚本会从服务器端加载并在用户浏览器中执行。
2. 反射型XSS（Reflected XSS）：攻击者将恶意脚本包含在URL中，然后通过诱使用户点击恶意链接或访问特定网页来触发。服务器接收到恶意参数后，将其反射回用户浏览器并执行。
3. DOM型XSS（DOM-based XSS）：这种类型的攻击不涉及服务器端。攻击者通过修改网页的DOM结构来触发XSS漏洞。恶意脚本会直接在用户浏览器中执行，通常是通过JavaScript修改DOM元素。

防御XSS攻击的方法包括输入验证和过滤、输出编码、使用CSP（Content Security Policy）、避免直接操作DOM等。开发人员应当谨慎处理用户输入，不信任的输入应该被过滤或编码，以确保不会被当做脚本执行。此外，定期进行安全审计和漏洞扫描也是防御XSS攻击的重要步骤。