向 Web 瀏覽器發送未經驗證的數據，可能會導致該瀏覽器執行惡意代碼。配置中的設置可最大限度降低暴露 cross-site scripting 漏洞的可能性。
Cross-Site Scripting (XSS) 漏洞在以下情況下發生：
1. 數據通過一個不可信賴的資源進入 Web 應用程序，通常是一個網頁請求或者數據庫。
2. 在未檢驗包含數據的動態內容是否存在惡意代碼的情況下，便將其傳送給了 Web 用戶。
傳送到 Web 瀏覽器的惡意內容通常采用 JavaScript 代碼片段的形式，但也可能會包含一些 HTML、Flash 或者其他任意一種可以被瀏覽器執行的代碼。基于 XSS 的攻擊手段花樣百出，幾乎是無窮無盡的，但通常它們都會包含傳輸給攻擊者的私人數據（如 Cookie 或者其他會話信息）。在攻擊者的控制下，指引受害者進入惡意的網絡內容；或者利用易受攻擊的站點，對用戶的機器進行其他惡意操作。
由于針對 XSS 漏洞進行的攻擊通常涉及到與受攻擊者控制的惡意站點進行通信或需要重新定向到該站點，因此注入對其他域內容引用的能力在諸多攻擊中必不可少。可對 AntiSamy 進行配置，使其阻止指向外部域的鏈接，進而降低攻擊者可通過 XSS 攻擊造成的破壞。然而，這種保護只能解決部分問題，并不能解決由 XSS 漏洞帶來的整體威脅。
例 1：以下 AntiSamy 配置條目允許鏈接至在應用程序所運行的域之外的 URL。
<attribute name="href" onInvalid="filterTag">
<regexp-list>
<regexp name="onsiteURL"/>
<regexp name="offsiteURL"/>
</regexp-list>
</attribute>
[1] Standards Mapping - OWASP Top 10 2007 - (OWASP 2007) A1 Cross Site Scripting (XSS)
[2] Standards Mapping - OWASP Top 10 2010 - (OWASP 2010) A2 Cross-Site Scripting (XSS)
[3] Standards Mapping - OWASP Top 10 2004 - (OWASP 2004) A4 Cross Site Scripting
[4] Standards Mapping - Security Technical Implementation Guide Version 3 - (STIG 3) APP3510 CAT I, APP3580 CAT I
[5] Standards Mapping - Security Technical Implementation Guide Version 3.4 - (STIG 3.4) APP3510 CAT I, APP3580 CAT I
[6] Standards Mapping - Web Application Security Consortium 24 + 2 - (WASC 24 + 2) Cross-site Scripting, Content Spoofing
[7] Standards Mapping - Common Weakness Enumeration - (CWE) CWE ID 79, CWE ID 82, CWE ID 83, CWE ID 87, CWE ID 692
[8] HTML 4.01 Specification W3
[9] Standards Mapping - SANS Top 25 2010 - (SANS 2010) Insecure Interaction - CWE ID 079
[10] Standards Mapping - SANS Top 25 2011 - (SANS Top 25 2011) Insecure Interaction - CWE ID 079
[11] Standards Mapping - SANS Top 25 2009 - (SANS 2009) Insecure Interaction - CWE ID 116
[12] Standards Mapping - Payment Card Industry Data Security Standard Version 1.2 - (PCI 1.2) Requirement 6.3.1.1, Requirement 6.5.1
[13] Standards Mapping - Payment Card Industry Data Security Standard Version 1.1 - (PCI 1.1) Requirement 6.5.4
[14] Standards Mapping - Payment Card Industry Data Security Standard Version 2.0 - (PCI 2.0) Requirement 6.5.7
[15] Standards Mapping - FIPS200 - (FISMA) SI
[16] Understanding Malicious Content Mitigation for Web Developers CERT