❓ Что такое XSS и как с ним бороться?

XSS — внедрение чужого JavaScript в страницу, который исполнится в браузере жертвы (кража кук, действия от её имени). Виды: stored, reflected, DOM-based.

Защита: экранирование вывода по контексту (htmlspecialchars для HTML) — именно вывода, а не ввода; заголовок Content-Security-Policy; флаг HttpOnly на сессионной куке, чтобы JS не мог её прочитать.