XSS跨站脚本攻击全称Cross Site Scripting，是Web安全领域出现频率最高的前端漏洞之一。攻击者利用网站对用户输入过滤不严的缺陷，将恶意的JavaScript代码注入到页面当中。当其他用户访问这个页面时，注入的脚本就在受害者浏览器中自动执行，攻击者由此可以窃取Cookie、会话令牌甚至模拟用户执行敏感操作。
三种XSS攻击类型
反射型XSS是最基础也是最常见的形式。攻击者构造一个包含恶意脚本参数的URL，通过钓鱼链接等方式诱骗用户点击，服务器将URL中的脚本原样反射回页面并执行。这类攻击需要结合社会工程手段才能生效，但一旦成功危害不容小视。存储型XSS的威胁要大得多，攻击者将恶意脚本直接提交到网站的数据库里，比如在文章评论、个人简介、商品留言等位置嵌入脚本代码，所有浏览这个页面的用户都会成为受害者。DOM型XSS比较特殊，它不依赖服务器端响应，完全在浏览器端通过DOM操作触发。当页面原有的JavaScript代码不安全地操作URL参数或者用户输入并写入DOM时，攻击者就能利用这个漏洞执行任意脚本。
XSS攻击能造成什么后果
XSS攻击最直接的后果是用户Cookie被窃取，攻击者拿到登录凭证后可以冒充用户登录系统，执行转账、发帖、修改资料等操作。攻击者还能实现页面钓鱼，在正常页面中嵌入伪造的登录框收集用户密码。如果攻击面足够大，攻击者甚至能够在整个网站的范围内传播恶意代码，造成大范围的数据泄露。还有一种攻击手法叫会话劫持，攻击者利用XSS获取用户的会话ID后，直接接管该用户的当前会话。这些攻击场景在企业环境中并不罕见。
防护策略与最佳实践
防御XSS最根本的策略是输出编码。所有在HTML页面中渲染的用户数据，都必须根据输出位置选择适当的编码转义方式，让浏览器将其视为纯文本而不是可执行的代码。内容安全策略是目前最强大的防护手段之一，通过HTTP响应头中的Content-Security-Policy来限制页面能加载和执行哪些来源的脚本，即使存在XSS漏洞，攻击者的脚本也会被浏览器拦截不能执行。
对于支持富文本编辑的场景，需要用白名单方式过滤，只允许安全的HTML标签和属性，剔除script、iframe、事件处理器等危险元素。HttpOnly标记的Cookie无法被JavaScript读取，能有效防止通过XSS窃取登录凭证。这些防御措施组合使用，可以将XSS的风险降到极低水平，但这些策略需要在开发阶段就纳入考量，后期补救的成本要高得多。