Tipos de XSS Stored / Reflected / DOM
Três variantes principais de XSS — dependendo de onde o código malicioso é armazenado e disparado.
Stored: fica salvo no banco de dados (campo de comentário), dispara para cada visitante. O pior tipo. Reflected: vem num parâmetro de URL, disparado por um link falso. DOM-based: bug puro de JS, sem passar pelo servidor. Defesas: escaping consciente do contexto, CSP, frameworks que fazem auto-escape.