Per evitare gli attacchi XSS puoi iniziare filtrando i tag script e tutti gli attributi relativi agli eventi javascript (es. onclick etc.) degli altri tag. Inoltre dovresti filtrare anche i tag IFRAME e FRAME