XSS跨站脚本攻击

XSS全称（Cross Site Scripting）跨站脚本攻击,XSS属于客户端攻击，受害者最终是用户，但特别要注意的是网站管理人员也属于用户之一。这就意味着XSS可以进行“服务端”攻击，因为管理员要比普通用户的权限大得多，一般管理员都可以对网站进行文件管理，数据管理等操作，而攻击者一般也是靠管理员身份作为“跳板”进行实施攻击。
    XSS攻击最终目的是在网页中嵌入客户端恶意脚本代码，最常用的攻击代码是javascript语言，但也会使用其它的脚本语言

程序对网站message参数输入（没有过滤）和输出（没有转译）的控制不够严格,导致"精心构造“的脚本输入后,在输到前端时被浏览器当作有效代码解析执行从而产生危害

劫持用户cookie信息

框架钓鱼

木马

键盘记录

刷流量

交互的数据一般不会被储存在数据库里，只是简单的把用户输入的数据反射给浏览器，一次性，所见即所得。

交互的数据会被存在数据库里，永久性储存，具有很强的稳定性。

不与后台服务器产生数据交互，通过前端的DOM节点形成的XSS漏洞。由浏览器产生 和数据库代码无关 

全自动扫描

半自动扫描

重要的是考虑在哪里有输入，输入的数据在什么地方输出

当协议、主机(主域名，子域名)、端口中的任意一个不相同时，称为不同域。我们把不同的域之间请求数据的操作，成为跨域操作。

为了安全考虑，所有浏览器都约定了“同源策略”，同源策略禁止页面加载或执行与自身来源不同的域的任何脚本既不同域之间不能使用JS进行操作。比如：x.com域名下的js不能操作y.com域名下的对象
   那么为什么要有同源策略？ 比如一个恶意网站的页面通过js嵌入了银行的登录页面（二者不同源），如果没有同源限制，恶意网页上的javascript脚本就可以在用户登录银行的时候获取用户名和密码。

<script src="...">  //加载本地js执行

<img src="...">  //图片

<link href="...">  //css

<iframe src="...">  //任意资源

后台设置好Access-Control-Allow-Origin，设置为*，既允许所有人访问

查看网页源代码

htmlspecialchars()函数的作用

htmlspecialchars()函数配置参数