| 成因 | 用户数据未按输出上下文编码 |
|---|---|
| 危害 | 窃取会话、伪造操作、钓鱼与蠕虫式传播 |
| 基础防护 | 按 HTML/属性/URL/JS 上下文编码输出 |
| 纵深 | HttpOnly、CSP、输入净化、框架默认转义 |
不同上下文的编码方式
不同上下文的编码方式
HTML 文本：< 转 <，> 转 >
属性值：引号包裹并编码双引号与单引号
URL 参数：URL 编码，并限制协议为 http/https
JS 上下文：JSON 序列化后嵌入，避免字符串拼接React/Vue 等框架默认对插值转义；风险集中在 v-html、dangerouslySetInnerHTML 等显式绕过点。