XSS原理
XSS（跨站脚本攻击）漏洞是一种常见的安全漏洞，其原理是攻击者通过向网页中注入恶意脚本代码 （JavaScript代码） ，当其他用户访问该页面时，浏览器会执行这些脚本，从而盗取用户信息（如Cookie）、劫持会话或进行其他恶意操作。XSS的本质是Web应用对用户输入缺乏充分的验证和过滤，导致不可信数据被当作代码执行。
XSS分类及依据
XSS漏洞主要分为三类，分类依据是恶意脚本的存储位置、触发方式以及执行环境：
反射型XSS
依据：恶意脚本作为请求的一部分（如URL参数）发送到服务器，服务器直接将其“反射”到响应中，在用户浏览器执行。
特点：通常需要诱导用户点击恶意链接，非持久化，仅对当前会话有效。
存储型XSS
依据：恶意脚本被永久存储在服务器端（如数据库、论坛帖子），当用户访问包含该内容的页面时自动执行。
特点：持久化攻击，影响范围广，无需用户交互即可触发。
DOM型XSS
依据：攻击通过客户端JavaScript动态修改DOM（文档对象模型）实现，不经过服务器端处理。恶意脚本由前端代码直接解析执行。
特点：完全在客户端发生，常见于单页应用（SPA），难以通过服务器端防护检测。