xss 简述

分类

存储型

恶意代码存储在服务端,用户访问时服务端把恶意代码拼接到html中返回

反射型

恶意代码包含在url中,用户访问时候,服务端从url中取出恶意代码拼接到html中返回

dom型

恶意代码包含在url中,js取出恶意代码执行

预防

输出时html转义

输入时过滤html

CSP

js小心使用innerHTML这类,避免html拼接