昨天下午，检测决同事老周把一份渗透测试报告甩到我桌上，到目洞解指着一个标红的存跨漏洞说：“这个XSS，甲方要求今天必须给修复方案。站漏”我扫了一眼，检测决目标是到目洞解一个企业官网的搜索框，输出点直接拼进了HTML，存跨连过滤都没做。站漏这种问题太典型了，检测决典型到我都懒得吐槽开发当初怎么写的到目洞解代码。

跨站漏洞的存跨本质，就是站漏攻击者能把脚本塞进你的页面，然后借你的检测决域名在用户浏览器里跑。它不攻击服务器，到目洞解攻击的存跨是用户。所以修复思路得从两个方向下手：让脚本“进不来”，或者让它“跑不了”。

最直接的办法，是给输出点做HTML实体编码。拿那个搜索框举例，用户输入`