框架注入漏洞，框架说白了就是注入攻击者往你的网页里塞了一段不属于你的代码。这事儿听起来简单，漏洞但破坏力比你想的框架大得多。

我见过最典型的注入案例是某电商平台。他们有个搜索框，漏洞用户输入关键词后，框架页面会直接显示“您搜索的注入是：XXX”。程序员图省事，漏洞把用户输入的框架内容直接拼进了HTML标签里。攻击者输入了``，注入弹窗瞬间出现。漏洞这还只是框架验证，真正致命的注入是把`onerror`换成窃取cookie的脚本——用户登录状态直接泄露，账号被盗，漏洞订单被改。那个平台一夜之间损失了上百万，就因为少写了一个转义函数。

框架注入的核心在于“信任”。开发者信任用户输入是纯文本，但浏览器不这么想。浏览器只认HTML结构，你塞进去什么标签，它就执行什么标签。这种漏洞最常见于三种地方：URL参数直接拼进页面、搜索框结果回显、表单错误提示。你去看那些老旧的政府网站，十个里有八个都有这毛病。

别以为只有新手才犯这种错。某知名社交平台曾经在JSONP接口上栽过跟头。他们允许用户自定义回调函数名，结果没过滤特殊字符。攻击者构造了一个恶意URL，让用户在不知情的情况下点击，回调函数里被注入了恶意逻辑，直接调用了用户的私信接口。这事儿当时闹得挺大，但他们官方通报只说了句“已修复”，没提根因。

修复框架注入其实不难，核心就两条：一是对所有输出到HTML的内容做实体编码，把`<`变成`<`，`>`变成`>`；二是尽量不用字符串拼接HTML，改用安全的模板引擎或DOM操作。但难点在于——你得知道哪些数据是“不可信的”。很多人觉得“我这是内部系统，不会有攻击者”，这想法太天真了。内部系统里一个被钓鱼的员工，就能变成攻击者。

我做过一次代码审计，发现一个后台管理系统把管理员名字直接写进了页面标题。攻击者只要改掉自己的用户名，就能在管理员的浏览器里执行任意脚本。管理员权限有多大？能删库、能改配置、能看所有用户明文密码。这漏洞藏了三年没人发现，因为没人会想到有人敢对后台下手。

框架注入还有个隐蔽变种——DOM型。它不走服务器，纯粹在前端JavaScript里操作DOM时触发。比如你用`innerHTML`插入用户输入，或者用`document.write`写内容。这类漏洞更难扫出来，因为服务器返回的HTML是干净的，恶意代码全在浏览器端动态生成。你拿扫描器扫不出问题，得靠人肉看代码逻辑。

说实话，这漏洞年年上榜OWASP Top 10，但年年有人踩坑。原因在于它不像SQL注入那样有统一的防护方案，每个页面都可能是个独立战场。程序员换了一茬又一茬，老代码没人敢动，新代码又带着旧习惯。我见过最离谱的修复，是有人用正则过滤`