跨站脚本攻击XSS

2017年某天，跨站一个黑客在知名论坛的脚本私信功能里塞了段JavaScript代码。受害者点开私信，攻击浏览器立刻把这段代码当亲儿子执行——cookie被偷走，跨站账号被接管，脚本整个后台管理权限拱手让人。攻击整个过程不到三秒，跨站受害者甚至没看清弹窗长什么样。脚本

XSS的攻击本质就这么简单：你信任了用户的输入，浏览器就替你把这个信任变成了灾难。跨站攻击者不需要破解你的脚本密码，不需要攻破你的攻击服务器，只需要找到一个能让你浏览器执行他代码的跨站入口——评论区、搜索框、脚本URL参数，攻击甚至一个图片的alt属性。代码一旦跑起来，就像在银行金库里放了个内鬼。

我见过最蠢的防护是过滤尖括号。开发者把`