Em uma aplicação web que exibe dados dinâmicos provenientes de usuários, o método mais eficaz para prevenir ataques de Cross-Site Scripting (XSS), entre as opções abaixo, é
implementar cabeçalhos de segurança HTTP como Content Security Policy (CSP).
validar os dados do usuário apenas no lado do cliente utilizando JavaScript.
utilizar tokens de sessão com tempo de expiração curto.