XSS全称跨站脚本(Cross Site Scripting)，为避免与层叠样式表(Cascading Style Sheets, CSS)的缩写混淆，故缩写为XSS。这是一种将任意 Javascript 代码插入到其他Web用户页面里执行以达到攻击目的的漏洞。攻击者利用浏览器的动态展示数据功能，在HTML页面里嵌入恶意代码。当用户浏览改页时，这些潜入在HTML中的恶意代码会被执行，用户浏览器被攻击者控制，从而达到攻击者的特殊目的，如 cookie窃取等。
2、XSS产生原因、漏洞原理形成XSS漏洞的主要原因是程序对输入和输出的控制不够严格，导致“精心构造”的脚本输入后，在输到前端时被浏览器当作有效代码解析执行从而产生危害。
3、XSS会造成那些危害？攻击者通过Web应用程序发送恶意代码，一般以浏览器脚本的形式发送给不同的终端用户。当一个Web程序的用户输入点没有进行校验和编码，将很容易的导致XSS。
1、网络钓鱼，包括获取各类用户账号2、窃取用户cookies资料，从而获取用户隐私信息，或利用用户身份进一步对网站执行操作；3、劫持用户（浏览器）会话，从而执行任意操作，例如非法转账、强制发表日志、电子邮件等4、强制弹出广告页面、刷流量等5、网页挂马；6、进行恶意操作，如任意篡改页面信息、删除文章等7、进行大量的客户端攻击，如ddos等8、获取客户端信息，如用户的浏览历史、真实p、开放端口等9、控制受害者机器向其他网站发起攻击；10、结合其他漏洞，如csrf，实施进步危害；11、提升用户权限，包括进一步渗透网站12、传播跨站脚本蠕虫等4、XSS的防御形成XSS漏洞的主要原因是程序对输入和输出的控制不够严格，导致“精心构造”的脚本输入后，在输到前端时被浏览器当作有效代码解析执行从而产生危害。
因此在XSS漏洞的防范上，一般会采用“对输入进行过滤”和“输出进行转义”的方式进行处理: 输入过滤：对输入进行过滤，不允许可能导致XSS攻击的字符输入; 输出转义：根据输出点的位置对输出到前端的内容进行适当转义;
5、XSS常见出现的地方1、数据交互的地方
get、post、cookies、headers
反馈与浏览
富文本编辑器
各类标签插入和自定义
2、数据输出的地方
用户资料
关键词、标签、说明
文件上传
6、XSS的分类反射性XSS又称非持久型XSS，这种攻击方式往往具有一次性，只在用户单击时触发。跨站代码一般存在