حمله XSS

XSS (Cross-Site Scripting) حمله‌ای است که در آن مهاجم کد جاوااسکریپت مخرب را به صفحه سایت تزریق می‌کند تا در مرورگر بازدیدکنندگان دیگر اجرا شود؛ مثلاً از طریق فیلد کامنت یا پارامتر آدرس. پیامد رایج آن سرقت کوکی نشست و جعل هویت کاربر واردشده است. دفاع اصلی «خروجی‌گیری امن» است: هر داده کاربر هنگام نمایش باید escape شود (e() در این پروژه) و ورودی‌ها قبل از ذخیره پاک‌سازی شوند.

دفاع در PHP: echo htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8');