XSS
跨站脚本攻击指的是攻击者往页面里插入恶意的 html 标签或 javascript 标签
例如:
1.攻击者在页面中放了一个看似安全的链接<a href="javascript:console.log(document.cookie);"链接</a,
这样成功的读取了 cookie 并可以将其发送至对应的服务器
2.或者在论坛中，添加 评论是 web 端没有进行对应的防护插入对应的表单并且成功了
这样用户将会将信息发送至攻击者的服务器
防护:
服务端设置 httpOnly，这样客户端脚本将无法读取客户端的 cookie
用户输入的地方，对左右尖括号和;这样的关键词都进行过滤。
并且写入页面的内容，在写入之前必须加密，
配合 token 使用，
DOM 型
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
</head>
<body>
<a href="javascript:alert('xss-href')">XSS</a>
<script src="javascript:alert('xss-src')"></script>
</body>
</html>