那个红字跳出来的检测时候，我正盯着Burp Suite的到目洞响应面板。目标URL是存跨某政务系统的查询接口，参数`id`直接拼进了SQL查询——但这次不是站漏SQL注入，是检测跨站脚本。payload是到目洞``，经过URL编码后塞进`id`参数，存跨服务器原样返回，站漏连个过滤都没做。检测浏览器弹窗的到目洞那一刻，我反而松了口气：这漏洞要是存跨被黑产拿到，比SQL注入更麻烦。站漏

跨站漏洞的检测本质，是到目洞信任了不该信任的数据。服务器把用户输入当成了可执行的存跨代码，而不是普通字符串。这个政务系统的开发人员大概只做了SQL注入的防护，以为参数化查询就万事大吉。他们忘了XSS是另一条路——不需要碰数据库，直接在页面层就能偷走会话令牌。我试着把payload改成``，照样执行。连`