浏览器地址栏里敲下`view-source:`，黑客再随便打开一个网站，代码你看到的黑客是一堆尖括号和英文字母的混合物。有人管这叫代码，代码有人管这叫网页，黑客但在我眼里，代码这玩意儿更像是黑客一张写满密码的藏宝图。而黑客，代码就是黑客那些能读懂藏宝图，甚至能偷偷改掉宝藏位置的代码人。

别把黑客想得太玄乎。黑客真正的代码html黑客，干的黑客不是入侵服务器那种大动静，他们玩的代码是“改页面”的小把戏。我见过一个哥们儿，黑客在网吧里打开一个银行登录页，按下F12，把页面上的“转账金额”输入框的`maxlength`属性从10改成了100。然后他往里面打了一串数字，页面没报错，系统也没拦他——当然，他最后没真转账，只是图一乐。但那一刻，他确实在跟html的规则玩捉迷藏。

html本身不设防。它只是告诉浏览器“这里有个按钮”“那里有个输入框”。可人类一旦依赖它，漏洞就长出来了。比如有些老网站的登录表单，密码框的`type`属性是`password`，你只要在控制台里把它改成`text`，密码就明晃晃地显示出来。这不是破解，这是掀开窗帘看里面。黑客干的事，有时候就是找到那扇没锁的窗。

更绝的是“篡改”页面内容。你打开一个新闻网站，看到头条说“某公司股价暴跌”，你觉得不对劲，因为你知道那公司刚签了大单。这时候你打开开发者工具，把那段新闻的`

`标题改成“股价暴涨”，截图发朋友圈。没人知道是你改的，因为截图里看不出痕迹。这种恶作剧式的黑客行为，技术上连小学生都能学会，但它提醒你一件事：你眼睛看到的网页，未必是服务器真正发给你的。

我认识一个做前端的姑娘，她管这叫“html的橡皮泥特性”。她说，代码里每个标签都像一块泥，你想捏成啥样都行。但真正让她兴奋的不是捏，而是“看穿”。比如她发现某个电商网站的优惠券按钮，`class`里有个`disabled`，她删掉那个词，按钮就变可点了。她没黑数据库，没偷钱，只是把前端的一个开关拨了一下。结果呢？服务器后端没校验，优惠券真发出来了。那次她没领，但她说：“如果我想，我能让全站的人都领到五折券。”

这些例子听起来像玩笑，但它们背后有个严肃的真相：html是web的皮肤，而皮肤底下是血肉。黑客不攻击皮肤，他们攻击的是“皮肤和血肉之间的信任”。当开发者默认前端输入的数值一定合法，默认隐藏的``字段不会被修改，默认`disabled`按钮真的没人能点——漏洞就诞生了。html黑客的乐趣，恰恰在于戳破这种默认。

我自己也干过一件蠢事。大学时做课程设计，写了个简陋的留言板，用户头像用``直接拼进html。有个同学输入了`" onerror="alert(1)`，结果每次刷新页面都弹个警告框。我当时气得骂他，但后来才明白，那叫XSS注入，是最经典的html黑客入门招数。他其实没恶意，只是想让我知道：你写的每一行html，都可能变成别人手里的武器。

所以别小看那些尖括号。它们看起来温顺，像羊圈里的羊。但只要你找到栅栏的缺口，羊就能跑出去，甚至变成狼。html黑客不是高深的魔法，它更像是一种“不信任”的思维训练——不信任输入，不信任默认，不信任眼前看到的渲染结果。这种思维，比任何工具都值钱。

下次你打开一个网页，不妨按一下F12。看看那些结构、属性、样式。你可能会发现某个按钮的`href`指向一个不存在的链接，某个图片的`alt`文本写着一句脏话，某个隐藏的`div`里藏着一行小字。那不是bug，那是上一个程序员留下的指纹。而你，正在成为下一个能读懂指纹的人。