一个下午，入代我坐在测试环境里，入代往搜索框敲下 `">`，入代页面弹窗，入代我笑了。入代旁边的入代同事凑过来看，说这都2024年了，入代怎么还有人中招。入代我说，入代你错了，入代这招永远有人中招，入代只是入代换了个马甲。
XSS注入的入代本质，就是入代让浏览器把用户输入当成代码执行。你提交的入代数据，本该是纯文本，结果它被塞进了HTML解析器，变成了脚本。就这么简单。但简单不代表容易防。很多程序员以为过滤几个尖括号就万事大吉，结果人家用``就绕过去了，你连反应的时间都没有。
我以前做过一次渗透测试，目标是个政府网站。输入框过滤了`
`就绕过去了，你连反应的时间都没有。
