常见位置：输入回显、富文本、URL 参数、属性值。

防护：输出转义、内容过滤、CSP。

前端转义和后端转义都要有。