一个搜索框，攻概念用户输入 ``，击防页面弹窗了。范中这事我见过太多次。消除开发者觉得“我做了转义啊”，危险可转义写在了错误的注入位置。XSS攻击的攻概念根源不是过滤不严，而是击防危险注入点没被消除。

什么叫注入点？范中就是用户数据进入HTML文档流的那一瞬间。你从数据库取出一条评论，消除拼接到 `