XSS（跨站脚本攻击）

XSS（Cross-Site Scripting，跨站脚本攻击）是一种 Web 安全漏洞：攻击者将恶意脚本代码注入到网页中，当其他用户浏览该页面时，脚本会在他们的浏览器里自动执行，从而窃取信息或冒充用户操作。

概述

正常情况下，浏览器的同源策略会限制不同网站之间互相读取数据。但如果一个网站没有对用户提交的内容（如评论、搜索词、个人资料）做严格过滤，攻击者就能把一段 JavaScript 混进页面。这段脚本在受害者浏览器中运行时，被视为来自该网站本身，等于绕过了同源策略的保护。

XSS 的危害取决于网站处理的数据有多敏感：轻则弹窗恶作剧、篡改页面显示，重则窃取登录 Cookie、劫持账号会话、记录键盘输入，甚至配合钓鱼页面骗取密码和支付信息。由于攻击目标是访问网站的普通用户而非服务器本身，它长期位居 Web 漏洞排行榜前列。

主要类型

• 存储型 XSS：恶意脚本被保存到服务器（如留言、帖子中），所有浏览该内容的用户都会中招，危害最大。
• 反射型 XSS：脚本藏在链接参数里，服务器将其「反射」回页面，用户点击恶意链接才会触发。
• DOM 型 XSS：漏洞出在前端 JavaScript 对页面的处理逻辑上，脚本不经过服务器，直接在浏览器端被执行。

如何防范

• 对所有用户输入做校验，输出到页面时进行 HTML 转义，不信任任何外部数据。
• 使用内容安全策略（CSP）限制页面可执行的脚本来源。
• 为 Cookie 设置 HttpOnly 属性，使脚本无法读取登录凭证。
• 优先使用主流前端框架的默认输出方式，避免直接拼接 HTML。

常见问题

问：XSS 和 SQL 注入有什么区别？答：SQL 注入攻击的是网站数据库，直接威胁服务器数据；XSS 攻击的是浏览网页的用户，脚本在受害者浏览器中执行，两者的注入位置和受害对象都不同。

问：普通用户如何降低被 XSS 攻击的风险？答：不点击来路不明的链接，及时更新浏览器，重要网站用完及时退出登录；但根本的防护要靠网站方修复漏洞。

问：用了 HTTPS 还会被 XSS 攻击吗？答：会。HTTPS 只保证传输过程加密，防不了网页本身被注入恶意脚本，两者解决的是不同层面的安全问题。