XSS的核心问题是把用户输入当代码执行了。攻击者把一段恶意JavaScript脚本注入到网页中,当其他用户访问这个页面时,脚本就在用户的浏览器里跑起来了。最常见的场景是评论区、搜索框、个人签名这些允许用户输入内容的地方。如果程序没有对输入做过滤和转义,攻击者就能把 script alert('黑客来了') /script 这段代码存进去。真正的恶意...