内容摘要：淘宝的商品详情页里，卖家写的那段描述，浏览器可不管是谁写的。你输入什么，它就渲染什么。这就是XSS的起点。 我最早注意到这个问题，是帮朋友看一个卖手工皮具的店铺。他在详情页里加了一段“买家必读”，里面

淘宝的商品详情页里，卖家写的那段描述，浏览器可不管是谁写的。你输入什么，它就渲染什么。这就是XSS的起点。

我最早注意到这个问题，是帮朋友看一个卖手工皮具的店铺。他在详情页里加了一段“买家必读”，里面有个 `