你打开一个网页，意思地址栏里是意思熟悉的银行域名，页面长得跟平时一模一样。意思你输入账号密码，意思点击登录。意思下一秒，意思页面跳到一个陌生站点，意思而你的意思密码已经躺在别人的数据库里了。这不是意思什么高深黑客电影里的情节，这就是意思XSS——跨站脚本攻击干的事。

XSS的意思全称是Cross-Site Scripting。明明缩写该是意思CSS，但CSS已经被层叠样式表占了，意思搞安全的意思人只好退一步，写成XSS。意思名字里的“跨站”容易让人误解，以为攻击是从一个站打到另一个站。其实更准确的理解是：攻击者把恶意脚本注入到了你信任的网站里，然后这个网站替你执行了它。

它的核心逻辑特别朴素。网站如果对用户输入的内容不加以处理，直接原样输出到页面上，那用户输入什么，浏览器就执行什么。你留一条评论，内容是<script>alert('x')</script>，如果网站直接把它塞进HTML里，所有看到这条评论的人，浏览器都会弹出一个框。弹框只是演示，换成偷Cookie的代码，你的登录态就没了。

XSS通常被分成三类。反射型是最常见的那种，恶意脚本藏在URL参数里，你点了一个精心构造的链接，服务器把参数值原封不动吐回页面，脚本执行。它需要你主动点击，所以钓鱼邮件里特别爱用。存储型更狠，恶意代码被存进了数据库——比如一条评论、一个昵称、一篇帖子——之后每个访问该页面的用户都会中招。这种攻击不需要你点任何可疑链接，你只是正常浏览，就中招了。还有DOM型，它不经过服务器，纯粹是前端JavaScript在处理URL片段时把不可信数据当代码执行了。

我见过一个真实案例。某小型电商站的搜索框，输入关键词后页面会显示“您搜索的是：xxx”。有人搜了<img src=x onerror=alert(document.cookie)>，页面直接弹出了自己的Cookie。更糟的是，这个搜索结果的URL被分享出去后，点开的人同样会执行那段脚本。一个搜索功能，硬生生变成了挂马入口。

为什么XSS这么多年了还活着？因为防御它需要程序员在每一个输出点都保持警惕。用户输入可能出现在HTML标签里、属性里、JavaScript代码里、CSS里、URL里，每种上下文需要的转义规则都不一样。漏掉一个地方，整条防线就破了。很多开发者觉得“我用了框架，框架会自动转义”，但框架只保护它自己渲染的那部分，你手动拼个innerHTML试试？照样中招。

防御手段其实不复杂。输出编码是第一道关，根据数据出现的上下文做对应的实体编码。CSP（内容安全策略）是第二道关，告诉浏览器只允许加载指定来源的脚本，内联脚本一律拒绝。Cookie加上HttpOnly标记，JavaScript就读不到它了。这些措施叠加起来，XSS就很难找到缝隙。但现实是，很多站点连最基本的输出编码都没做全。

普通人能做什么？说实话不多。你没法控制网站怎么处理你的输入。但你可以装个浏览器扩展，比如NoScript，默认禁止所有脚本执行，需要时再放行。另外，别随便点来历不明的链接，尤其是那种带着一长串参数的。XSS不会因为你“只是看看”就放过你。

说到底，XSS是信任错位的结果。你信任那个网站，网站却把攻击者的代码当成了自己的一部分来执行。浏览器分不清哪些脚本是网站自己的，哪些是攻击者塞进来的。它只认来源，不认意图。这个空子，被人钻了二十多年，还在继续钻。