原理 由于程序沒有對用戶提交的變量中的HTML代碼進行過濾或轉換,使得腳本可被執行,攻擊者可以利用用戶和服務器之間的信任關系實現惡意攻擊 危害 敏感信息泄露、賬號劫持、Cookie欺騙、拒絕服務、釣魚等 防范 不允許HTML中腳本運行 對所有腳本進行嚴格過濾