2014年，跨站一名安全研究员在Twitter上发现了一个奇怪的脚本链接。点开之后，攻击他的原理账号自动发了一条推文，内容是跨站他自己都没打过的字。这不是脚本账号被盗，也不是攻击手机中毒，而是原理他浏览的页面里藏了一段JavaScript代码。这段代码悄悄读取了他的跨站登录凭证，然后模拟他本人发出了那条推文。脚本整个过程，攻击他毫无察觉。原理

这就是跨站跨站脚本攻击，简称XSS。脚本它的攻击本质很简单：攻击者把恶意脚本注入到网页中，当其他用户访问这个页面时，脚本就在他们的浏览器里执行。听起来像是黑客电影里的桥段，但现实中，XSS可能发生在一个论坛的评论区、一个搜索框，甚至是你每天使用的网银页面里。

要理解XSS，得先明白浏览器的一个"信任错觉"。当你打开一个网页，浏览器会认为页面里的所有代码都是网站自己写的，是"可信的"。它不会区分哪段代码是开发者写的，哪段是用户提交的。攻击者正是利用这一点——他们找到网站上可以输入内容的地方，比如评论框、用户名、搜索关键词，然后在里面填入一段精心构造的脚本。

如果网站没有对输入内容做过滤，这段脚本就会被原样存储下来，或者直接反射到页面上。下次有用户访问这个页面时，脚本就跟着HTML一起被浏览器解析执行了。攻击者的脚本能做什么？它可以窃取你的Cookie——那是你登录状态的"身份证"，拿到它就能冒充你登录账号。它还能篡改页面内容，比如把转账按钮的收款账号改成攻击者的。甚至可以记录你的键盘输入，包括密码和银行卡号。

XSS分三种类型。存储型最危险，脚本被持久保存在服务器数据库里，每个访问者都会中招。反射型需要诱导用户点击一个带恶意参数的链接，脚本在URL里，服务器把它"反射"到页面响应中。DOM型则完全在客户端发生，不经过服务器，纯粹是前端JavaScript代码处理用户输入时出了问题。

我见过一个真实案例。某个电商平台的商品评价区，有人提交了一条评价，内容不是文字，而是一段脚本。脚本会在每个查看该商品的用户浏览器里弹出一个伪造的优惠券弹窗，诱导用户输入手机号。短短三天，就有几百人上当。而网站开发者根本没意识到问题——他们只过滤了SQL注入，却忽略了HTML标签的转义。

防御XSS的思路其实很朴素：永远不要信任用户的输入。对所有输入做严格的校验和过滤，对所有输出做HTML实体编码。比如把"<"转成"<"，把">"转成">"，这样浏览器就不会把它们当作标签来解析。现代前端框架，比如React和Vue，默认实现了转义机制，但开发者如果用了`dangerouslySetInnerHTML`或`v-html`这类接口，就等于亲手关掉了安全阀门。

XSS已经存在了二十多年，但它依然活跃在各种网站上。原因很简单：它太容易钻空子了。很多开发者觉得"我做了防护"，但往往漏掉了某个隐藏的输入点，比如HTTP请求头里的Referer字段，或者一个JSONP接口的回调参数。攻击者不需要多高深的技术，只要足够细心，就能找到那个漏网之鱼。

下次你在网页上看到一段可以自由输入的文本区域，不妨想想：这个位置，会不会是下一个攻击者的入口？