XSS攻击/AJAX跨域攻击

前两天在看xss攻击，但是一直没搞明白是什么样的攻击，今天就想了下，自己写了个测试代码 
先是http get请求之不安全吧 
GET请求就是一把利器，但是在不注意代码规范和安全意识较差的程序员手里，就成了一把凶器 
为什么，请看代码: 
a.html 
<img 
src="http://localhost/a.php?uid=1" /> 

a.php 
<?php 
file_put_contents("./te",time()); 

如果你能看懂我在写什么？那么说明你的安全意识很强，以上只是两端非常简单的代码，看上去并没有什么安全漏洞可言 
下面听我分析下： 
假设 a.php是一个删除uid=1的程序代码,而这个时候当然需要用户权限，对于普通用户，他必然不能访问该页面，因为他没有权限，一般的，我们会把用户组那些信息存入到session里面，对于管理员就是管理组，普通会员就是会员组，那么会员组的会员访问没有权限，出错跳转等等行为，这里没有任何问题； 
但是如果是一个已经登陆的管理员去浏览a.html，那么问题可严重了，因为他已经登陆了，在session里面有管理组的信息，也就是说他通过html的标签去访问a.php这个地址，而他又有权限，那么他就可以删除uid=1的用户了。。。试想下，是不是很危险？ 
总结:在改变数据结构的程序，最好使用post 
XSS攻击 
什么是XSS攻击，这个没什么好讲的，自己google 
就是要注意过滤html里面的javascript标签就可以了，否则后果很严重，还是给一段代码吧 
<img 
οnlοad="alert(document.cookies);" 
src='xxx.jpg'> 

如果onload是一段ajax的代码，向我的程序插入你的cookie甚至其他信息，是不是也非常危险？ 
这就是为什么现在的浏览器不允许跨域请求的原因了