关于使用accesskey进行xss攻击的总结

在一些文章中，对于hidden的元素进行xss攻击时，提到可以使用accesskey的方式进行。

根据实践，我使用了三个浏览器：

chrome 68

firefox 61

IE 11

结果为：IE和chrome不支持hidden的accesskey，准确的说可能是不支持相关onfocus或者onclick事件，firefox支持

当快捷键相同时：

chrome激活最后一个元素，

IE和firefox激活下一个元素，或者说是当前焦点所在元素的下一个元素

 

当快捷键相同的元素中包含hidden时，hidden元素默认为第一个元素：

chrome可触发最后一个元素，但hidden无法触发

firefox遇到下一个元素为hidden时，则无法触发hidden，同时，也不会继续往下执行快捷键

IE不受影响，会跳过hidden元素执行

 

求指教