> XSS (Cross-Site Scripting) 是一种常见的 Web 应用程序安全漏洞，它允许攻击者在受害者的浏览器中执行恶意脚本。下面是一个简单的 XSS 漏洞示例，其中攻击者能够在受害者的页面上注入恶意脚本。 假设有一个简单的留言板应用程序，用户可以在上面发布留言。留言板应用程序的代码如下所示： ``` <!DOCTYPE html> <html> <head> <title>留言板</title> </head> <body> <h1>留言板</h1> <form method="POST" action="/post"> <textarea name="message" rows="5" cols="30"></textarea> <input type="submit" value="发布留言"> </form> <h2>最新留言：</h2> <div id="messages"> <!-- 这里会显示最新的留言 --> </div> </body> </html> ``` 上述代码中，用户可以通过表单提交留言，然后该留言会显示在页面上。 然而，该应用程序存在一个未经验证的用户输入问题。当用户在留言框中输入 JavaScript 代码时，应用程序直接在页面上显示该留言，而不进行任何过滤或转义。这就给了攻击者注入恶意脚本的机会。 下面是一个攻击者可以提交的恶意留言： ``` <script> alert("恶意代码执行") </script> ``` 当其他用户查看该留言板时，该恶意脚本会被执行，导致弹出一个对话框，其中显示了攻击者指定的消息。攻击者可以利用这个漏洞进行各种恶意活动，如窃取用户的会话令牌、重定向用户到恶意网站等。 >要修复这个漏洞，应该在显示用户提交的内容之前对其进行适当的过滤和转义，以确保任何用户输入的恶意脚本都不会被执行。
