DOM-based XSS — это как диковинка: посмотришь на сервер — всё чистенько, а в браузере уже готовый бардак. Сами скрипты на фронте могут быть злейшей дырой, даже если сервер как кремень. В общем, игра в прятки с браузером ещё та. Главное — не забывать, что опасность может быть в самых невинных местах.