A3-4 Cross Site Scripting
(P2) 跨站脚本攻击（XSS）是最常见且最有害的Web应用程序漏洞/缺陷之一。它允许 HTML/脚本标签作为输入，并在没有编码或清理的情况下渲染到浏览器中。通过 JavaScript 链接的特权函数调用可能会被破坏, 敏感数据（例如您的身份验证 cookie）可能会被窃取.
比如，从浏览器的开发者工具中的 JavaScript 控制台（Chrome、Firefox），把cookie打印出来。或者任何返回给客户端的数据字段都有可能被注入一段脚本。
(P4)XSS 攻击可能导致以下后果：
* 窃取会话 Cookie
* 创建伪造请求
* 在页面上创建伪造字段以收集凭据
* 将页面重定向到“非友好”网站
* 创建伪装成有效用户的请求
* 窃取机密信息
* 在终端用户系统上执行恶意代码（主动脚本）
* 插入敌对和不适当的内容
(P5)XSS有三种类型，反射型（Reflected），基于DOM的（也可以看作反射型），存储型或持久型（Stored or persistent）
(P6)反射型 XSS 场景：攻击者向受害者发送一个恶意URL。受害者点击链接，加载了一个恶意网页。嵌入在URL中的恶意脚本在受害者的浏览器中执行。该脚本窃取敏感信息，如会话 ID，并将其泄露给攻击者。
（P7）这几个任务看视频
（P11） 一旦你触发了它，后续的响应将会在你的浏览器控制台中返回一个随机数。将该随机数填在下面。
传统的反射型XSS攻击利用服务器端的漏洞，服务器直接将未过滤的用户输入反射到响应中。而基于DOM的XSS完全在客户端执行，通过操作DOM来触发恶意代码，不需要服务器的参与。
