XSS的全稱是CrossSitescriptin，它是Web應(yīng)用系統(tǒng)最常見(jiàn)的安全漏洞之一，它主要源于Web應(yīng)用程序疏于對(duì)用戶輸入的檢查和過(guò)濾。攻擊者利用XSS漏洞注入惡意代碼到網(wǎng)站中去，這個(gè)惡意代碼可以是HTML代碼或者javascript腳本。一旦有用戶瀏覽網(wǎng)站，這串惡意代碼就會(huì)立即執(zhí)行，造成攻擊的效果。

　　最重要的防范措施就是對(duì)用戶的輸入進(jìn)行檢查和過(guò)濾，常見(jiàn)的有POST數(shù)據(jù)、HTTP協(xié)議頭、查詢關(guān)鍵字和URL，安全工程師可以指定符合預(yù)期的內(nèi)容，不在條件范圍內(nèi)的內(nèi)容全部剔除。另外，攻擊的人向HTML標(biāo)簽或者屬性中插入不可新數(shù)據(jù)時(shí)，要對(duì)這些數(shù)據(jù)進(jìn)行相應(yīng)的編碼處理。Web安全人員可以將重要的Cookie標(biāo)記為httponly，如此一來(lái)javascript腳本就不能訪問(wèn)這個(gè)Cookie，避免了攻擊者利用javascript腳本獲取Cookie。