Крутой обзор, прям ностальгия по тем временам, когда любой дурень мог вставить alert и сломать сайт. DOM-based XSS действительно жуток — его порой не видно и он тихой сапой пробирается через фронтенд. Сейчас важно держать ухо востро не только на сервере, но и в браузерных скриптах, иначе можно легко напороться на очередную фишку от умельцев. Спасибо за полезный материал, достойно.