跨站脚本(XSS)

跨站脚本(XSS)发生在 Web 应用未经过充分转义或净化便将不受信任的输入嵌入响应,导致攻击者控制的 JavaScript 在受害者浏览器中执行。主要分为三类:反射型 XSS(载荷随请求发送并立即回显)、存储型 XSS(载荷被服务器持久化,如评论中)和基于 DOM 的 XSS(漏洞位于客户端代码)。成功的 XSS 可以劫持会话、窃取令牌、篡改页面、投递恶意软件,或与 SSRF、CSRF 组合使用。常见防御措施包括上下文感知的输出编码、严格的 Content-Security-Policy、框架自带的安全模板、HTTPOnly 与 SameSite Cookie,以及输入验证。