xss漏洞是什么

一个阳光明媚的下午，某电商平台的客服收到一条消息：“您好，我刚刚下单失败，麻烦帮我看看订单。”

客服点开链接，页面正常显示，但几秒钟后，她的后台弹出一条提示——管理员密码已修改。她愣住了，自己明明什么都没干。攻击者其实早就在链接里埋了东西，那串看似无害的字符，在页面加载时悄悄执行了脚本。

这就是XSS漏洞——跨站脚本攻击。它的本质很简单：攻击者把恶意脚本注入到网页中，当其他用户访问这个页面时，脚本就在他们的浏览器里跑起来。

为什么叫“跨站”？因为脚本不是来自网站本身，而是从外部“跨”进来的。你访问的是可信网站，但执行的代码却可能来自黑客。

最常见的类型有三种。第一种叫反射型，就像上面那个客服案例——恶意代码藏在URL里，服务器把它原样反射回页面。这种攻击需要诱导用户点击特定链接，有点像钓鱼。

第二种是存储型，更危险。攻击者把恶意脚本直接存到网站的数据库里。比如在一个评论区提交一条包含脚本的评论，之后每个浏览这条评论的人都会中招。论坛、留言板、商品评价区都是重灾区。

第三种是DOM型，纯前端的事。代码不经过服务器，直接在浏览器里通过修改DOM结构触发。这种更难发现，因为服务器日志里根本看不出异常。

攻击者拿到XSS后能干什么？轻则偷你的Cookie——记住，Cookie就是你的登录凭证，相当于房间钥匙。重则模拟你发帖、转账、修改密码。2018年英国航空公司遭XSS攻击，38万用户数据泄露，包括信用卡信息。这不是小打小闹。

有个细节很多人没意识到：XSS不挑技术栈。PHP写的老网站有，React写的新网站也有。只不过框架会自动转义一部分输入，稍微提高了门槛，但业务逻辑如果写得不严谨，照样漏洞百出。

我见过最蠢的修复方式是过滤关键字，把“script”替换成空字符串。攻击者写个“scr