XSS深入理解

[Jesse]

XSS 仔细 咀嚼 这两篇文章就行了：

• 大概讲解
• 具体解析原理
• 这篇文章更深入

关键点：

不同context下，浏览器对字符的解码顺序

[Jesse]

解决 XSS，更完美的方式，是配合 Content Security Policy -- CSP，直接设置网站允许加载的各种资源的域名 白名单 ，参见这些：

• MDN CSP
• https://helmetjs.github.io/docs/csp/

[Jesse]

阻止XSS检查项