Чёта слышал есть ПО оно както чекает XSS - атаку на последнем рубеже, ну то есть когда хацкер обошел все фильтры и барьеры и уже после генерации HTML оно есчо раз проверяет? Кто знает алго?