XSS: 跨站腳本攻擊
攻擊者往web頁面插入惡意代碼，當用戶瀏覽該頁面時，會被執行，從而達到惡意攻擊用戶的目的。通常通過php輸出函數將js輸入html,通過本地瀏覽器執行
分類
反射性XSS 非持久化
攻擊者事先製作好攻擊鏈接，需要欺騙用戶自己去點擊鏈接才能觸發XSS代碼（服務器沒有這樣的頁面和內容），一般在搜索頁面
存儲型XSS 持久化
存儲在服務器中，如在個人信息或發表文章的地方，加入代碼。如果過濾不全或者沒有過濾，將會存儲在服務器中，每當用戶訪問的時候就會觸發代碼
DOM型XSS 基於文檔對象模型的一種漏洞，在客戶端操作dom
原理
反射性XSS
用戶輸入輸出，及時響應
存儲型XSS
和反射性XSS的即時響應相比，存儲型XSS則需要先把利用代碼保存在比如數據庫或文件中，當web程序讀取利用代碼時再輸出在頁面上執行利用代碼。但存儲型XSS不用考慮繞過瀏覽器的過濾問題，屏蔽性也要好很多
DOM型XSS
防範
反射性XSS
對用戶輸入的<>做了轉義處理,
存儲型XSS
用戶輸入的<>做了轉義處理
DOM型XSS