跨站脚本攻击（XSS）的跨站官方分类是三种：反射型、存储型和基于DOM型。脚本但如果你去翻实际的攻击共漏洞报告，会发现第四种“变异型”正在悄悄冒头——它不算官方分类，漏洞却是种类真实世界里最让防御者头疼的变种。

反射型XSS是跨站最“直白”的那种。攻击者把恶意脚本塞进URL参数里，脚本服务器不加过滤就把这段脚本“反射”回页面。攻击共用户点击链接，漏洞脚本就执行。种类2018年某大型电商平台曾爆出过这类漏洞，跨站攻击者构造一个看似官方的脚本促销链接，实际在参数里藏了窃取cookie的攻击共代码。这类攻击的漏洞生存周期极短，但钓鱼场景下效率极高——因为链接本身就是种类诱饵。

存储型XSS则更阴险。恶意脚本被永久保存在服务器数据库里，任何访问该页面的用户都会中招。典型例子是论坛签名档、评论区或用户资料卡。我见过一个真实案例：某开源项目论坛的“个人简介”字段没做过滤，攻击者植入了一段脚本，任何查看他资料的管理员都会被窃取会话。管理员权限就这样丢了。这类XSS的危害是持续性的，而且能波及大量用户，堪称“定时炸弹”。

基于DOM的XSS最隐蔽，它根本不经过服务器。整个攻击发生在浏览器端——JavaScript读取URL中的参数，然后直接修改页面DOM结构。比如你打开一个页面，地址栏里有个#后的哈希值被代码用来动态生成内容，如果这段内容没被转义，恶意的onerror事件就能触发。这类漏洞很难被服务器端WAF拦截，因为攻击流量看起来完全正常。我曾经审计过一个内部管理系统，它的前端框架用location.hash做路由，结果某个子页面把hash值直接拼接进了innerHTML——那是个典型的DOM型XSS，修复起来还得改前端逻辑，不能只靠后端过滤。

至于变异型XSS，它更像是一种“绕过技巧”而非独立类型。攻击者利用浏览器解析HTML的容错性，比如把<script>拆成<scr<script>ipt>，或者利用svg、math等特殊标签的解析规则，让过滤规则失效。这类攻击在移动端WebView里更常见，因为某些浏览器内核的解析差异会被放大。我见过一个案例，攻击者用<iframe srcdoc>嵌套编码字符，成功绕过了三层过滤规则——这已经不是单纯的反射或存储问题，而是对浏览器解析机制的深度利用。

你要是问哪种类型最危险？我的判断是存储型，因为它能“批量感染”。但实际攻防中，反射型和DOM型的组合攻击更常见——攻击者先通过反射型XSS投递恶意脚本，脚本再动态修改DOM形成二次注入。所以分类只是基础认知，真正的防护得从“输入过滤”转向“输出编码”和“CSP策略”三管齐下。别指望单靠一种手段就能防住所有类型，那就像用同一把钥匙开三种不同的锁。

(责任编辑：探索)