XSS 跨站脚本攻击原理与防护

## 概述 跨站脚本（XSS）是 Web 安全中最常见的问题之一。攻击者将恶意脚本注入页面，在受害者浏览器中执行，可能窃取会话、篡改页面或发起二次请求。 ## 常见类型 1. **反射型 XSS**：恶意脚本出现在 URL 参数中，经服务端反射进页面。 2. **存储型 XSS**：脚本被写入数据库/留言等持久化位置，访问者打开即中招。 3. **DOM 型 XSS**：前端用不可信数据直接改写 DOM（如 `innerHTML`）。 ## 防御要点 - 按上下文做输出编码（HTML / JS / URL / CSS 不同）。 - 开启合适的 Content-Security-Policy（CSP）。 - Cookie 设置 `HttpOnly`、`Secure`、`SameSite`。 - 对富文本使用白名单消毒库，而不是简单黑名单过滤。 ## 学习建议 在本地靶场（如 DVWA、WebGoat）中练习识别与修复，重点放在「如何正确编码与设计 CSP」，而不是扩大攻击面。