En principio, esta es la referencia principal que sería recomendable seguir https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html para prevenir el XSS.
JavaScript se ejecuta en el cliente, y este puede hacer lo que quiera con el código y con su navegador (incluyendo la consola del mismo), el riesgo de una manipulación esta limitado porque solo lo va a afectar a él o a alguien que use ese navegador en ese equipo, a nadie mas.
El problema surge cuando por algún medio se ingresa código ejecutable (javascript) al backend supongamos y luego ese código lo enviamos al frontend. En esta oportunidad, la manipulación va a afectar a todos.
Esta es una web que está deliberadamente expuesta a XSS http://www.insecurelabs.org/Talk en donde podemos probar todo esto https://www.owasp.org/index.php/XSS_Filter_Evasion_Cheat_Sheet. La idea es siempre la misma por algún input entra algo que no debería.
La forma de estar protegido (al margen del primer link que paso) si habría que resumirlo, es no intentar sanear o sanitisar los inputs, es decir no tratar de definir que no dejaremos pasar, mas bien definir exactamente que es lo que dejamos pasar dentro de lo posible.
Parece que no pero es un cambio fundamental de filosofía. Una cosa es limpiar la basura y otra hacer un filtro. Hacer un filtro es mucho mas fácil y efectivo. Si revisas la web de OWASP, podrás ver que hay muchísimos ejemplos de XSS y se van actualizando continuamente, sanitisar los riesgos actuales y futuros es prácticamente imposible.
A modo de ejemplo:
//supongamos que viene de un input que va a ir al backend
const potencialXSS = "alert(1)";
//sanitisar (NO recomendado)
const sanitisado = potencialXSS.replace(/[\(\)]/g,"");
console.log(sanitisado);//<-- nunca estamos seguros de limpiar TODO
//filtrando
const valido = /^[a-z]{0,5}$/g.test(potencialXSS);//<-- solo definimos lo que dejamos pasar lo mas restrictivamente posible
console.log(valido);
//Si es falso no dejamos pasar
.textContent
para asegurarte que no se ejecute ningun script en vez de.innerHtml
. Aun que como dice @ordago no creo que sea suficiente.javascript
y la mayoría pone repuestas con referencias aphp