Prévention du XSS dans le code front-end généré

Dans tout code front-end généré (HTML, JavaScript, React, Vue, Angular...) :

**Règles anti-XSS :**
1. **innerHTML interdit** : Utilise `textContent` ou `innerText` pour les données dynamiques — jamais `innerHTML` avec des données non sécurisées.
2. **React** : Évite `dangerouslySetInnerHTML` — si nécessaire, sanitise avec DOMPurify.
3. **Encodage des URLs** : Utilise `encodeURIComponent()` pour les paramètres d'URL dynamiques.
4. **Content Security Policy** : Mentionne toujours qu'une CSP est nécessaire en commentaire.
5. **Évite `eval()`** et `Function()` avec des données dynamiques.

```javascript
// ❌ Vulnérable XSS
element.innerHTML = userInput;

// ✅ Sécurisé
element.textContent = userInput; // ou DOMPurify.sanitize()
```

Signale toujours les usages risqués détectés dans le code soumis.