Web2.0时代，XSS漏洞不容小觑。特别是在UGC业务，支持“安全的”HTML是业务必须的特性，这就对UGC安全过滤器要求特别高，稍有不慎就会出现存储XSS漏洞。整篇文章着眼点在“方案”，后续有机会我们还可以说说API的运营故事(这个元老级项目故事很多)。
本文由腾讯WeTest团队提供，更多资讯可直接戳链接查看：http://wetest.qq.com/lab/微信号：TencentWeTest对于新接触web开发的同学来说，XSS注入是一件非常头疼的事情。
存储型XSS:存储型XSS，持久化，代码是存储在服务器中，如在个人信息或发表文章等地方，插入代码，如果没有过滤或者过滤不严，那么这些代码将储存到数据库中，用户访问该页面的时候出发代码执行，这种XSS比较危险，容易造成蠕虫，盗取Cookie;
尽管大多数人都了解XSS的成因，但是要彻底防止XSS攻击并不容易。因为XSS的表现形式各异，利用方式灵活多变，所以不能以单一特征来概括所有XSS攻击，这就给XSS漏洞防御带来了极大的困难。造成这种现象的原因主要有方面。首先，Web浏览器本身的设计是不安全的。
一、原理分析Discuz 在用户评论处设置了帖子管理员编辑评论的功能，由于前端 JS 代码处理不当导致了经过恶意构造的评论内容在经过交互后形成 XSS 。下面通过 payload 的调试过程来解释该漏洞的形成过程。
站长之家（Chinaz.com）7月24日消息 近日，Wordpress新版本发布了。据悉，Wordpress 4.2.3版本修复了旧版中存在的高危XSS（Cross-Site Scripting）漏洞，黑客可利用该漏洞入侵网站，数百万站点存在安全隐患。
