1. 什么是XSS漏洞？
XSS（Cross Site Scripting，即跨站脚本攻击）是Web应用中最常见的漏洞之一，是指攻击者通过在受害者页面中注入恶意脚本，使攻击者能够获取受害者的敏感信息或者在受害者的帐户下执行恶意操作。
XSS攻击分为反射型、存储型和DOM型。其中，反射型XSS是攻击者将恶意脚本注入到URL中，当受害者点击这个URL时，恶意脚本就会执行；存储型XSS是攻击者将恶意脚本存储在服务器上，当用户访问该服务器上的页面时，恶意脚本会被执行；DOM型XSS则是不通过服务端，而是通过修改页面的DOM结构来实现攻击的。
下面是一个简单的反射型XSS攻击的例子：
String name = request.getParameter("name");
out.print("Hello, "+name+"");
这个例子中，攻击者利用了一个简单的表单，在其中注入了恶意脚本：
当用户在表单中输入这个恶意脚本并提交时，它将会被嵌入到页面中，导致恶意脚本的执行。
2. Java中的XSS漏洞
Java Web应用中的XSS漏洞通常是由于缺乏对输入的验证或过滤而导致的。例如：
String name = request.getParameter("name");
out.print("Hello, "+name+"");
在这个例子中，如果用户在表单中输入了恶意脚本，它将会被直接嵌入到HTML页面中，导致恶意脚本的执行。
除了表单中的输入，还有很多其他的输入源也可能存在XSS漏洞，例如Cookie、HTTP头、隐藏字段等等。
3. XSS漏洞的防护策略
3.1 输入验证和过滤
对于输入的数据，首先应该进行验证和过滤，确保它不包含任何恶意脚本。对于一些已知的特殊字符，例如<、>、'、"等，应该进行转义。Java中提供了很多转义函数来完成这个任务，例如：
import org.apache.commons.lang3.StringEscapeUtils;
String name = request.getParameter("name");
name = StringEscapeUtils.escapeHtml4(name);
out.print("Hello, "+name+"");
StringEscapeUtils.escapeHtml4()函数可以将HTML标签和一些特殊字符进行转义，防止它们被解析为HTML代码。同样，还有转义函数可以用于JavaScript、CSS、URL等不同的输入场景。
3.2 输出编码
即使进行了输入过滤，在将用户输入输出到页面上时仍然需要进行编码，以防止恶意脚本的执行。在Java中，可以使用JSP标签库或函数库来完成编码的工作。
JSTL标签库提供了一系列用于输出编码的标签，例如:
这个标签将会对用户的姓名进行XML编码，以防止恶意脚本的执行。
3.3 HttpOnly Cookie
当站点使用Cookie来保存认证信息时，攻击者可以利用XSS漏洞来窃取这些Cookie值，并在受害者的帐户下执行恶意操作。为了防止这种情况的发生，可以将Cookie标记为HttpOnly，这样客户端的JavaScript将无法访问这些Cookie值。
Java中可以通过设置Cookie的HttpOnly属性来实现：
Cookie cookie = new Cookie("auth", "xxxxxxxxxx");
cookie.setHttpOnly(true);
response.addCookie(cookie);
3.4 Content Security Policy
Content Security Policy（CSP）可以进一步加强Web应用的安全性，它可以指定哪些资源可以被加载到页面中，防止恶意脚本的注入。
在Java中，可以通过设置HTTP响应头来开启CSP，例如：
response.setHeader("Content-Security-Policy", "script-src 'self'");
这个例子中，我们只允许从当前站点加载JavaScript资源，其它站点的JavaScript将无法被执行。
4. 总结
XSS漏洞是Web应用中最常见的漏洞之一，因此我们需要采取多重防护措施来防止它的发生。验证和过滤用户输入、输出编码、HttpOnly Cookie以及Content Security Policy都是非常有效的防护策略。