同源策略通过多种方式有效地防止了 XSS（跨站脚本攻击）：
限制 DOM 访问
- 同源策略规定不同源的页面之间无法直接访问彼此的 DOM 节点。这意味着恶意网站无法通过脚本直接获取或修改目标网站的页面元素、属性和文本内容等。例如，攻击者无法在自己的恶意页面中编写 JavaScript 代码来直接操作目标网站的登录表单，从而防止了攻击者通过修改表单内容来窃取用户的登录信息。
- 假设存在一个恶意网站
http://malicious.com和一个目标网站http://target.com，攻击者在http://malicious.com上编写了一段脚本，试图获取http://target.com页面中用户输入的敏感信息。由于同源策略的限制，这段脚本无法直接访问http://target.com的 DOM 节点，也就无法获取到用户在目标网站上输入的信息，从而有效地阻止了 XSS 攻击中常见的信息窃取行为。
隔离 Cookie
- 浏览器的同源策略严格限制了不同源的页面之间对 Cookie 的访问。一个网站设置的 Cookie 只能被该网站及其同源的页面所访问和使用，无法被其他不同源的网站获取或修改。当用户登录到一个网站后，该网站会在用户的浏览器中设置登录相关的 Cookie，用于标识用户的登录状态。
- 如果没有同源策略的保护，攻击者可以通过在恶意网站上编写脚本，尝试获取目标网站的登录 Cookie，然后利用该 Cookie 冒充用户登录目标网站，从而获取用户的敏感信息或进行其他恶意操作。而同源策略的存在确保了只有目标网站本身及其同源页面能够访问和操作这些登录 Cookie，大大降低了 Cookie 被窃取和滥用的风险，有效防止了基于 Cookie 窃取的 XSS 攻击。
限制脚本执行环境
- 同源策略为每个源创建了相对独立的脚本执行环境。在不同源的页面中加载的脚本只能在各自的源环境中执行，无法直接访问其他源的全局变量、函数和对象等。这就防止了恶意脚本在目标网站的执行环境中注入恶意代码并执行。
- 例如，攻击者可能会尝试在目标网站中注入一段包含恶意脚本的代码，如通过在目标网站的评论区或输入框中输入恶意脚本。如果没有同源策略，这段恶意脚本就能够在目标网站的执行环境中获取和篡改重要的全局变量、调用敏感的函数，从而导致 XSS 攻击的发生。而同源策略通过隔离脚本执行环境，使得注入的恶意脚本只能在其自身所在的源环境中执行，无法对目标网站的执行环境造成实质性的破坏，从而有效地抵御了这类 XSS 攻击。
限制跨源网络请求
- 在使用 XMLHttpRequest 或 Fetch 等 API 进行网络请求时，同源策略会限制跨源请求的发起。默认情况下，浏览器只允许同源的请求，对于跨源请求，浏览器会先发送一个预检请求（OPTIONS 请求），以检查服务器是否允许该跨源请求。如果服务器允许，则后续的实际请求才会被发送，否则请求会被阻止。
- 这一限制对于防止 XSS 攻击也起到了重要作用。攻击者无法轻易地通过跨源请求将用户在目标网站上的敏感信息发送到自己的恶意服务器。例如，攻击者无法在恶意网站上编写脚本，直接通过 XMLHttpRequest 或 Fetch 发送包含用户登录信息的跨源请求到自己的服务器，从而切断了 XSS 攻击中数据泄露的一个重要途径。
综上所述，同源策略通过对 DOM 访问、Cookie 访问、脚本执行环境和跨源网络请求等多方面的严格限制，构建了一道坚实的安全防线，有效地防止了 XSS 攻击，保护了用户在网络浏览过程中的数据安全和隐私。
