把一段恶意脚本塞进一个看似无害的洞测输入框，然后眼睁睁看着它把你的试实Cookie偷走——这就是XSS测试最直观的快感。我第一次做这个实验时，验目在留言板提交了``，洞测页面弹窗蹦出来的试实瞬间，后背发凉。验目这不仅仅是洞测弹个窗那么简单，我等于在那个瞬间拿到了那个用户的试实全部身份凭证。

实验目的验目的第一层，是洞测搞清楚XSS到底怎么发生的。你往数据库里存一段代码，试实服务器不加过滤就吐给浏览器，验目浏览器傻乎乎地执行了——这是洞测存储型。还有反射型，试实你精心构造一个带恶意参数的验目URL，诱导别人点，服务器把参数原样拼回页面。还有DOM型，压根不经过服务器，纯前端JS自己把自己卖了。三种类型，本质都是“用户输入被当成了代码执行”。

第二层目的更实际：验证漏洞的实际危害边界。光会弹窗不算本事。你得试``，试绕过基本过滤的编码变体，试利用`

第三层，也是容易被初学者忽略的——学会区分“有漏洞”和“可利用”。实验时要刻意记录：哪些输入点被过滤了，过滤规则是什么，有没有办法用大小写混合、用html实体编码、用JS的`String.fromCharCode`来解套。这套攻防博弈的过程，比最终是否弹窗重要得多。因为真实世界的WAF和过滤器远比你实验环境里的复杂，但底层思路不变：找那个“没被过滤干净的缝隙”。

别把实验目的窄化成“证明有洞”。更关键的是建立一种直觉——看到任何用户可控的输入输出点，下意识会想“这里能不能塞东西”。这种思维一旦养成，你看任何网站的URL参数、搜索框、评论区，都会带着解剖刀。我有个同学做过一次完整测试，最后报告里写“某功能点可存储XSS，影响所有访问该页面的用户”，那行字的分量，比什么CVSS分数都重。

实验还有个隐性目的：让你对“信任”产生真实的怀疑。你不再天真地认为网站输出的内容都是安全的。你会开始注意自己写的每一行代码，会不会把未转义的数据直接拼进HTML。这种警惕心，才是XSS实验留给你最值钱的东西。毕竟，漏洞永远修不完，但一个懂得换位思考攻击者思维的开发者，能少埋很多雷。