一个搜索框，洞描用户输入 <script>alert(1)</script>，洞描页面弹出一个写着“1”的洞描对话框。就这么简单，洞描一个XSS漏洞就存在了。洞描很多人第一次看到这个弹窗，洞描觉得只是洞描个玩笑，没什么大不了。洞描但真正做过渗透测试的洞描人知道，弹窗只是洞描证明漏洞存在的最低成本方式，攻击者能做的洞描事情远比这多得多。

XSS，洞描全称跨站脚本攻击（Cross-Site Scripting），洞描为了和CSS样式表区分开，洞描缩写改成了XSS。洞描它的核心逻辑只有一句话：攻击者把恶意脚本注入到网页里，其他用户访问这个页面时，脚本就在他们的浏览器里执行了。注意，脚本是在受害者的浏览器里跑，不是在服务器上跑。这意味着攻击者可以拿到受害者的Cookie、Session Token，可以冒充受害者发请求，可以篡改页面内容，可以钓鱼。

我见过一个真实案例。某电商平台的商品评论功能没有对用户输入做过滤，攻击者在评论里嵌入了一段JavaScript。这段代码做的事情很简单：读取当前用户的Cookie，然后通过一个Image对象的src属性，把Cookie值拼接到URL里发送到攻击者控制的服务器。整个过程用户完全无感知。评论页面被浏览了几百次，就有几百个用户的登录态被偷走。攻击者拿着这些Cookie，不需要密码就能登录别人的账号。

XSS通常分三类。存储型最危险，恶意脚本被存进数据库，每次有人访问相关页面都会触发。反射型需要诱导受害者点击一个精心构造的链接，脚本从URL参数里反射到页面上执行。DOM型比较特殊，恶意数据不经过服务器，直接在浏览器端被JavaScript写入DOM时触发。三种类型的触发路径不同，但本质一样——用户输入没有被正确处理，就被当成代码执行了。

防御这件事，说复杂也复杂，说简单也简单。核心原则就一条：永远不要信任用户输入。所有输出到HTML页面的数据，必须经过编码。比如 < 要变成 <，> 要变成 >。不同上下文编码规则不一样，HTML属性里、JavaScript变量里、CSS里，各有各的转义要求。搞混了上下文，照样出问题。

还有个常见的误区：很多人觉得用了前端框架就安全了。React、Vue确实默认对插值做了转义，但架不住开发者用 dangerouslySetInnerHTML 或者 v-html 直接往DOM里塞原始HTML。框架给了你安全网，你非要把网剪破，那谁也拦不住。

Content Security Policy（CSP）是另一层防线。通过HTTP响应头告诉浏览器，只允许加载指定来源的脚本。即使攻击者成功注入了 <script> 标签，浏览器也会拒绝执行。CSP配好了，XSS的杀伤力会大幅下降。但CSP配置本身也有坑，unsafe-inline 一开，基本等于没配。

说句实在话，XSS漏洞存在了二十多年，到今天依然是Web安全里最常见的漏洞之一。OWASP Top 10里它从来没掉出去过。原因不复杂——开发节奏快，输入点太多，过滤规则容易漏。一个大型应用，几百个接口，每个接口的每个参数都是潜在的注入点。漏掉一个，就是缺口。

如果你在做开发，每次写跟用户输入相关的代码时，脑子里绷一根弦：这段数据，最终会出现在哪里？HTML里？属性里？URL里？脚本里？想清楚上下文，再做对应的编码处理。别等安全扫描报告出来才去补。