在JavaScript中防止跨站脚本攻击（XSS）是非常重要的，因为这种攻击可以导致恶意脚本在用户的浏览器中执行，从而窃取敏感信息或者破坏用户的会话。以下是一些防止XSS攻击的策略：

1、输入验证和清理：对所有用户输入进行验证和清理，确保它们不包含任何恶意代码，可以使用JavaScript的内置函数，如stripTags()和decodeURIComponent()等，来清理用户输入，应该限制用户输入的类型和格式，例如只允许文本输入，禁止HTML和JavaScript代码。

2、输出编码：当将用户输入的数据插入到HTML页面中时，必须对数据进行适当的编码，以防止浏览器将其解析为代码，可以使用textContent属性代替innerHTML属性来插入用户输入的数据，因为textContent属性不会解析HTML标签，可以使用JavaScript的encodeURIComponent()函数对用户数据进行编码。

3、设置HTTP头部：在服务器端设置适当的HTTP头部，可以防止XSS攻击，可以设置Content-Security-Policy头部来限制哪些资源可以被加载和执行，设置X-Content-Type-Options头部为nosniff可以防止浏览器猜测响应内容的类型。

4、使用内容安全策略（CSP）：CSP是一种安全机制，可以限制浏览器加载和执行哪些资源，通过设置适当的CSP策略，可以大大降低XSS攻击的风险，可以指定哪些脚本文件可以被加载，哪些样式表可以被应用等。

5、避免使用不安全的API：某些JavaScript API可能存在安全风险，例如document.write()和document.cookie等，应该避免使用这些API，或者在使用时采取额外的安全措施。

6、使用安全的框架和库：使用一些安全的框架和库，例如React、Angular和Vue等，它们内置了一些防止XSS攻击的机制，这些框架和库通常会对用户输入进行验证和清理，并使用适当的编码方式来插入用户数据。

防止XSS攻击需要综合考虑多个方面，包括输入验证和清理、输出编码、设置HTTP头部、使用CSP、避免使用不安全的API以及使用安全的框架和库等，只有采取全面的安全措施，才能有效地防止XSS攻击。