XSS

核心认识

XSS 让不可信内容以脚本身份在页面中执行，常见来源包括未转义 HTML、危险 URL 和 DOM 注入。防护重点是按输出上下文编码、避免危险 API，并以 CSP 作为纵深防御。

学习重点

• 理解攻击成立所需的信任边界、数据流和浏览器安全机制
• 优先采用安全默认值、输出编码和最小权限，而非依赖黑名单
• 把前端防护与服务端校验、监控和应急响应组合起来

实践检查

• 能用自己的话解释“XSS”
• 能在最小项目中完成一次与“XSS”相关的验证
• 能记录常见问题、取舍依据和排查方法