关于跨站javascript问题

最近，公司对原有政府网站项目进行了XSS漏洞扫描和修复。自己也参与其中，感触颇深啊。
原来的项目对所有的提交的请求中的参数，做了客户端的javascript验证和服务器端的Struts的Validation验证，但是还是不能应对那些黑客的跨站式攻击。不得不自己新写了一个Checkvalidator类，对所有在**-validation.xml文件中注册验证的字段进行验证。这个已经真实上线使用，希望各位大大提出指正意见。
相关代码如下：

	 public class Checkvalidator extends FieldValidatorSupport {
		private static String expression = "<script>";
		public void validate(Object object) throws ValidationException {
			String fieldName = getFieldName();
			String value = (String) getFieldValue(fieldName, object);
			//System.out.println("[validator!]" + fieldName);
			if (value == null || value.trim().length() == 0) { return; }
			if (value.indexOf(expression)>=0) { addFieldError(fieldName, object); }
		}
	}

validators.xml文件中添加如下
<validator name="check" class="validator.Checkvalidator"/>
**-validation.xml
<field name="欲验证的字段">
<field-validator type="check">
<message>字段含有非法字符！</message>
</field-validator>
</field>