攻击者把恶意脚本塞进一个看似无害的跨站链接里，等你点下去，脚本击脚本就在你的攻击攻击浏览器里跑起来了。整个过程里，主动你才是还被那个按下开关的人。所以跨站脚本攻击（XSS）从来不是动攻主动攻击，它是跨站一场精心设计的被动陷阱——攻击者不直接闯进你家，而是脚本击诱导你自己把门打开。

拿个真实案例说事。攻击攻击2018年，主动英国航空公司官网被植入XSS脚本，还被攻击者改写了付款页面，动攻用户填写的跨站信用卡信息直接飞到了黑客服务器。那些用户做错了什么？脚本击他们只是像往常一样订机票，输入卡号，攻击攻击点确认。没有谁强迫他们访问恶意站点，他们访问的是正规的英航官网。可攻击者早就把恶意代码藏在了网站某个角落，等着用户自己触发。这种攻击的杀伤力恰恰在于它的被动属性——受害者全程无感，甚至完成了整个交易流程才发现卡被盗刷。

对比一下主动攻击，比如SQL注入。攻击者直接向数据库提交恶意查询，他需要主动构造请求、试探漏洞、反复调整payload。整个过程攻击者占据主导权，服务器只是被动响应。XSS完全反过来，攻击者把代码部署好之后，剩下的工作全交给受害者。你刷新页面，你点击链接，你提交表单——每一步都是你在主动操作，而攻击者只是蹲在暗处数钱。

有人会抬杠：反射型XSS总得有人把恶意链接发给你吧？攻击者确实会通过邮件、短信、社交平台把链接推送给你，但推送行为不等于攻击行为。钓鱼邮件每天发出去几百万封，真正造成危害的是那些点开链接的人。如果没人点击，那段恶意脚本就永远是一段安静的字符串，啥也干不了。存储型XSS更明显，攻击者把脚本写进评论区或个人信息栏，之后每个浏览该页面的用户都会中招。你看，连推送环节都省了，纯粹靠受害者自己送上门。

这种被动性给防御带来了一个反直觉的启示：与其拼命加固服务器，不如管好浏览器。服务端可以过滤输入、转义输出，但总有漏网之鱼。真正有效的防线是把浏览器沙箱锁紧，比如启用CSP（内容安全策略），或者给Cookie打上HttpOnly标记。防御思路得从“挡住攻击者”转向“保护受害者”——因为攻击者早就退到幕后了，你根本找不到可以挡的正面。

判断攻击类型不是给攻击者分类贴标签，而是帮防御方找准发力点。主动攻击像明枪，你可以举盾；XSS像暗箭，你得穿甲。方向搞错了，防护手段就全废了。下次看到有人把XSS归为主动攻击，你可以反问一句：如果受害者不点那个链接，攻击能成立吗？不能。那它凭什么算主动？