关于防御XSS的一些基础问题

Question

XSS我的理解是在网页中插入恶意代码再实现其非法行为，最简单的检测网站能否进行XSS就是在留言板（如果有留言板的话）输入一段简单的弹窗脚本   
PS：我不会写代码，呵呵，还在学习...原理是这样，然后我有两个问题，1）就像上面我说的，在留言板里输入代码，那如果我做了留言审核的话能不能解决该问题呢？不通过审核就不能被显示2）XSS这类攻击手法是不是不能直接对客户机进行非法操作呢，不像恶意程序那样耗尽系统资源，更多的应该是在网站上撒网然后截取用户的信息吧？目前就两个问题，还请高手帮我解答一下呢，新手谢过啦~~XSS

Answer 1

最简单的就是替换<>符号为&lt;&gt;