缺少等于符号的跨站脚本攻击（CrossSiteScriptingWithoutEqualSign）

1. 使用encodeURIComponent对用户输入的数据进行编码，将其作为参数传递给URL，避免未经过滤的输入被当做脚本注入。如下所示：

<script>
    // 攻击者在URL中添加恶意代码
    // http://example.com/?search=<script>alert('XSS')</script>
    var search = decodeURIComponent(location.search.substr(1));
    // 使用encodeURIComponent对特殊字符进行编码
    var encodedSearch = encodeURIComponent(search);
    // 输出到HTML
    document.write("<p>" + encodedSearch + "</p>");
</script>

2. 对于从用户传来的输入，应该使用innerHTML代替innerText去渲染它。

<script>
    // 攻击者在网页中加入恶意代码
    // <div id="content">我爱<script>alert('XSS')</script>你</div>
    var content = document.getElementById("content").innerHTML; // 会导致脚本执行
    var contentSanitized = content.replace(/&/g, '&amp;') // 编码&
                                   .replace(/</g, '&lt;')  // 编码<
                                   .replace(/>/g, '&gt;')  // 编码>
                                   .replace(/"/g, '&quot;') // 编码"
                                   .replace(/'/g, '&#x27;') // 编码单引号
    document.write("<p>" + contentSanitized + "</p>");
</script>

这两种方法可以使得恶意代码不能被解析和执行，可以有效地防止跨站脚本攻击。