XSS攻击经典案例：一个HTML标签引发出微信重大的BUG

作为一枚技术公众号运营者，写文章，发文章都是日常操作了，但在一次日常的发文中却意外地发现了微信公众号的重大BUG，这究竟是怎么回事呢？

在9月3日当天，鱼头我发了一篇名为《我的<input />不可能这么可爱》的技术文章，本来以为是常规发文，结果有人给我反馈，当点击留言进入公众号文章留言模块的时候，会有BUG：

我愣了1,2,3秒。。。心想：“咦，不对，这不是把 <input />” 给宣传成dom了吗？

结果有了

然后就在群里说了这事，知道的胖友们都纷纷行动起来去做测试。。。

然后有了以下的测试流程：

1. 在公众号上发布一篇标题带有 <input onfocus="alert('1')"> 的文章；
2. 如果标题没有被转义，则用户打开文章之后，在留言界面会发现标题渲染成HTML；
3. 用户点击输入框则会执行上面的代码。

以下是复现漏洞的视频