Как предотвратить XSS в Node.js приложении?

XSS (Cross-Site Scripting): инъекция JavaScript кода. В Node.js API: если возвращаешь HTML — экранируй входные данные (escapeHtml). Content-Security-Policy header (через helmet) ограничивает выполнение скриптов. Sanitize HTML: dompurify (в browser), sanitize-html (на сервере) — убирают опасные теги. HttpOnly cookie — JavaScript не читает куки. X-XSS-Protection header (через helmet). Основное правило: не доверяй ни одному входному данному — валидируй, санитизируй перед сохранением и экранируй перед выводом.