跨站脚本攻击 (XSS)

通过在网页中注入恶意脚本，在用户浏览器中执行，实现会话劫持、钓鱼攻击或恶意操作。

常见指示器

• 用户输入直接反射到页面（搜索框、评论、用户名显示）
• URL 参数直接显示在页面中
• 富文本编辑器或 Markdown 渲染
• 错误信息包含用户输入
• JSON 响应被直接渲染
• SVG/XML 文件上传

检测方法

1. 基础测试