XSS漏洞可分为

一个XSS漏洞，本质上是把用户输入当成了代码执行。这事儿听起来简单，但分起类来，能让人头疼半天。业内最通用的分法，是看恶意脚本到底怎么“落地”的。

第一种叫反射型XSS。恶意代码藏在URL里，服务器不存，直接把它吐回页面。你点开一个链接，比如`http://example.com/search?q=`，服务器傻乎乎地把`q`参数原样拼进HTML，脚本就执行了。这种攻击像打水漂——石头扔出去，水面起个涟漪，就没了。所以它只能骗那些手快的人，或者靠邮件、聊天软件诱导点击。我见过最损的玩法，是把恶意链接缩短成`t.cn/xxx`，再包装成“你中奖了”发群里，中招率还真不低。

第二种叫存储型XSS，这才是真正的“毒瘤”。恶意代码被服务器存进数据库，谁看谁中招。论坛签名、评论区、用户昵称，全是重灾区。记得早年间某电商平台，有人把脚本塞进商品标题，结果每个点开商品详情的用户，Cookie都被偷了一遍。这种XSS不需要骗人点击，你只要正常浏览，就完蛋了。它的传播逻辑跟病毒似的，一个帖子能放倒几千人。防御起来也最麻烦，因为输入点太多，你根本不知道哪个字段会被渲染成HTML。

第三种叫DOM型XSS，这个最阴险。前面两种好歹是服务器参与了拼接，DOM型完全在浏览器本地发生。恶意代码不经过服务器，直接通过修改页面的DOM树来触发。比如你用`location.hash`或者`document.referrer`取值，再塞进`innerHTML`，攻击者就能构造一个特殊链接，让页面自己执行脚本。服务器端压根看不到任何异常日志，你以为自己很安全，其实前端代码早就漏成了筛子。

但光按“存储/反射/DOM”分还不够。我更喜欢从触发时机再切一刀。有些XSS是页面加载时立刻执行，有些则要等用户交互——鼠标悬停、点击按钮、甚至滚动屏幕才触发。后者更难发现，因为扫描器往往模拟不了那么复杂的用户行为。我实际测试时，就碰到过一种情况：恶意代码被藏在`onmouseover`事件里，必须把鼠标移到某个特定图片上才弹窗。自动化工具扫了八百遍都报“安全”，人一上手，瞬间破防。

还有种分法更实用——看攻击者能拿到什么。能偷Cookie的，是“经典款”；能改页面内容的，叫“钓鱼型XSS”，比如把登录框整个替换掉，用户输完账号密码直接发给黑客；还有能操控用户键盘的，叫“键盘记录型”，这种一般不弹窗，静默监听，最可怕。我见过一个真实案例，攻击者把恶意脚本藏在网页背景图里，用户打字时每敲一个键，就偷偷发给远程服务器。受害者完全无感，直到银行卡被刷爆才反应过来。

分类不是目的，认清本质才是。无论怎么分，XSS的核心矛盾就一个：开发者信任了用户的输入，而用户不总是善意的。你写代码时多滤掉一个尖括号，攻击者就少一条路。可现实是，很多系统上线三年了，连个基本的转义函数都没写对。你说这漏洞能不泛滥吗？