Reflected XSS
XSS-variant där malicious payload inkluderas i URL/request och "speglas" tillbaka i server-svar utan persistens. Kräver social-engineering (phishing-länk) för att trigga. Vanligt på search-pages, error-pages.
Klassisk vector: example.com/search?q=<script>...</script> där search-page visar "Results for: <script>...</script>" utan escaping. Attacker skickar URL till victim, victim klickar → script kör i victim:s browser session. Mindre devastating än stored XSS (per-victim, ej persistent), men fortfarande farlig för account-takeover. Defense: output-encoding av all user-input, CSP, URL-validation. Modern URL-shorteners hjälper attackers obfuscate misstänkt-länkar. Browser-mitigations: XSS Auditor (deprecated, removed Chrome 78 — false-positives), CSP är moderna defensen.