一个下午，洞攻某电商后台的洞攻客服系统突然开始疯狂弹窗。管理员点开一看，洞攻全是洞攻同一句话：“”。这不是洞攻恶作剧，是洞攻有人在测试留言板能不能执行JavaScript。如果没人发现，洞攻下一步可能就是洞攻盗取管理员Cookie、篡改商品价格、洞攻批量发送钓鱼链接——全程不需要破解密码。洞攻

XSS（跨站脚本）攻击的洞攻本质，就是洞攻让网站把攻击者的代码当成自家代码执行。受害者浏览器只认域名，洞攻不认代码来源。洞攻你访问的洞攻是正规银行网站，但页面里混进来的恶意脚本，照样能读取你的登录态、键盘输入、甚至摄像头权限。关键在于：网站有没有过滤用户输入。

最常见的反射型XSS，像一根回旋镖。攻击者构造一个恶意链接，里面带着脚本参数，比如：https://example.com/search?q=。受害者点开，网站把参数直接拼进页面，脚本立刻执行，Cookie被偷走。整个过程不到一秒，受害者毫无感觉。银行、邮箱、论坛——凡是搜索结果、错误提示页直接回显参数的地方，都可能中招。

存储型XSS更阴险。攻击者把恶意代码存在服务器上，比如在评论区留言里塞一段脚本。每个打开该页面的用户都会中招，管理员也不例外。2018年英国航空公司数据泄露事件，就是攻击者通过第三方JavaScript库植入代码，窃取了38万用户的支付信息。你以为你访问的是官网，其实官网自己都被“绑架”了。

DOM型XSS则藏在浏览器端。页面本身不传输恶意代码，但JavaScript读取了URL中的参数，并直接操作DOM。比如某新闻网站通过window.location.hash获取文章ID，然后拼进innerHTML。攻击者只需发送一个带#的链接，就能在用户浏览器里执行任意代码。这种攻击连服务器日志都查不到，因为请求根本不会发到后端。

防御手段听起来简单：转义输出、过滤输入、使用CSP（内容安全策略）。但现实是，开发者总在赶进度，框架自带的防护有时也形同虚设。我见过一个团队，后端用Java的ESAPI库做过滤，前端却用v-html直接渲染用户评论——等于装了防盗门，却把窗户大敞着。

最讽刺的是，很多XSS漏洞的发现者不是黑客，而是安全测试员。他们用自动化工具扫描，几分钟就能扫出上百个潜在注入点。但企业修复的速度，往往赶不上攻击者利用的速度。2023年某知名开源CMS被曝出存储型XSS漏洞，官方发布补丁前，已有至少6个活跃利用样本在暗网流传。

别以为只要不点陌生链接就安全。存储型XSS不需要你点击任何东西——只要打开页面，就已经中招。真正的防护，得靠网站开发者把每一行用户输入都当成敌人。你写innerHTML的时候，手不抖吗？