摘要：通常編寫過濾器驗證用戶輸入時，過濾器應該是基于白名單已知的安全結構配置編寫，允許白名單通過，不允許其他輸入而基于黑名單已知的不安全結構配置編寫，即允許除了黑名單之外的所有輸入，是不安全的，因為還有許多未知的不安全事物。原文鏈接應用安全

XSS，跨站腳本攻擊。

在接受不確定輸入內容（如第三方站點消息，URL參數，用戶創建的文本批注等）時，在使用前對數據進行驗證并且在展示時進行適當的編碼是必不可少的，否則，可能會有惡意用戶對網站進行攻擊，輕者只是傳遞不規范的數據，嚴重的可能攻擊服務器，擾亂網站正常運行，如，注入SQL腳本清除服務器上所有數據等。

通常編寫過濾器驗證用戶輸入時，過濾器應該是基于白名單（已知的安全結構）配置編寫，允許白名單通過，不允許其他輸入；而基于黑名單（已知的不安全結構）配置編寫，即允許除了黑名單之外的所有輸入，是不安全的，因為還有許多未知的不安全事物。

通常我們根據URL中的指定參數，返回給用戶不同頁面，提供給用戶如下導航：

    
Home
    
About Site
    
My Account

如上，若以上URL沒有編碼直接展示給用戶，惡意攻擊者可以截斷URL并插入一個script元素：

http://blog.jhss.com/?id=%3Cscript%3Ealert%28%27Oh%20no%21%27%29%3C/script%3E

若其他用戶訪問這個URL頁面，則會執行注入的script標簽內的任意腳本，惡意者可以指定惡意代碼，竊取用戶信息。

還有很多方式被用來欺騙站點執行注入的代碼，如下是我們應該考慮的方面：

當時用看似無害的元素時，應該限制其可以使用的屬性。如，元素，如果允許使用onload屬性，則攻擊者可以使用onload屬性添加回調函數執行任意指定代碼。

當允許插入元素時，意味著當前頁面所有