xss注入

一 HTML标签之间的注入 （<div>[输出]</div>）;

最常用着input标签或者url中

①比如弹幕

通过input获取输入的值，然后在生成li标签插入文档中，这种情况如果用的是原生的innerHTML,则对于的script标签不起作用，因为浏览器对插入body中的内容作了HTML entity编码，所以像插入类型的

<script>alert(1)</script>并不起作用，除非你自己新建script标签，再插入，则其作用。但如果你用的是jQuery的html()方法，则会弹出弹窗！！

set html时， jQuery会把强行让参数字符串中的script标签生效（方法是create and replace）,而.innerHTML则不会。

②URL的query参数

转载于:https://www.cnblogs.com/luguiqing/p/8302580.html