留言板没转义被偷cookie改密码，所有输入输出做转义，再没出过XSS漏洞

新手写留言板，用户输入的内容直接显示在页面，别人输入一段JS脚本，偷了管理员的cookie，其实做个XSS防护，就不会被偷数据。第一，用户输入的内容，输出到页面的时候转义，把尖括号转义，脚本就执行不了；第二，别把用户输入的内容直接插到JS代码里；第三，富文本编辑器的内容，过滤掉script标签，别留漏洞；第四，设置cookie的HttpOnly属性，JS读不到cookie。

我之前做留言板，没做转义，别人输入一段JS，偷了我后台的cookie，进了后台改了管理员密码，吓出冷汗，之后所有用户输入输出都做转义，再也没出过XSS漏洞。很多新手觉得XSS是大网站的事，小站天天被扫。