XSS跨站攻击

跨站脚本攻击，Cross Site Script。攻击者通过“HTML注入”，篡改网页，插入恶意脚本，从而在用户浏览网页时，控制用户浏览器的一种攻击。

存储型，出现在让用户输入数据，供用户查看的地方。应用程序从数据库中查询数据，在页面中显示出来，攻击者在相关页面输入恶意的脚本数据后，用户浏览此类页面就可能受到攻击。反射型，将数据输入应用程序后直接输出脚本内容，用户点击恶意链接就可能受到攻击。

构造数据：'onclick = alert(document.domain) // 。"> 。'><'。

如何防范：

“Secure By Default”，不要在页面中插入任何不可信数据。之所以有这样一条原则存在，是因为HTML里有太多的地方容易形成XSS漏洞，而且形成漏洞的原因又有差别，比如有些漏洞发生在HTML标签里，有些发生在HTML标签的属性里，还有的发生在页面的