XSS 也称跨站脚本攻击 (Cross Site Scripting)，恶意攻击者往 Web 页面里插入恶意 JavaScript 代码，当用户浏览该页之时，嵌入其中 Web 里面的 JavaScript 代码会被执行，从而达到恶意攻击用户的目的。
一种比较常见的 XSS 攻击是 Cookie 窃取。我们都知道网站是通过 Cookie 来辨别用户身份的，一旦恶意攻击者能在页面中执行 JavaScript 代码，他们即可通过 JavaScript 读取并窃取你的 Cookie，拿到你的 Cookie 以后即可伪造你的身份登录网站。
有三种方法可以避免 XSS 攻击：
第一种，对用户提交的数据进行过滤。使用『白名单机制』对 HTML 文本信息进行 XSS 过滤，只通过我们认为安全的标签和属性到服务器端，未知的全部过滤掉。这种过滤机制可以有效地防止各种 XSS 变种攻击。
第二种，Web 网页显示时对数据进行特殊处理，例如PHP使用htmlspecialchars()输出。
第三种，使用内容安全策略（Content Security Policy, CSP）防止XSS攻击。
参考
https://learnku.com/courses/laravel-intermediate-training/9.x/safety-problem/12512