XSS攻击简介

跨站脚本攻击（XSS）是指攻击者将恶意脚本注入到网页中，当用户访问时执行，窃取Cookie、会话信息等。HTML实体编码是防御XSS的核心手段之一。

如何防御

将用户输入的文本输出到HTML时，必须对特殊字符进行编码。例如：

<script>alert('XSS')</script>

编码后变为：

<script>alert('XSS')</script>

这样浏览器会将其显示为普通文本，而不执行脚本。

编码原则

• 在HTML上下文中，编码 < > & " ' 即可防止标签注入。
• 在HTML属性中，必须编码引号，防止属性值逃逸。
• 在JavaScript上下文中，需使用更严格的编码（如JSON编码）。

推荐实践

使用本工具的编码功能，对任何用户可控的数据在输出到HTML前进行编码。如果使用模板引擎，通常有自动转义机制，但手动验证始终是好的习惯。