XSS Cross Site Scripting

描述

由于提交数据时，没有对用户提交的数据进行核查，过滤非法字符，导致攻击者可以提交恶意代码存储到数据库中，达到持久型跨站攻击。恶意的用户可通过跨站脚本漏洞执行JS代码，进行挂马、篡改页面或截取管理员账号信息等操作，严重危害了系统安全稳定运行。

解决方法 

对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、REFER、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。尽量采用POST 而非GET 提交表单；对”<”，”>”,”;”,”’”，“javascript”，“jscript”，“vbscript”等字符做过滤；任何内容输出到页面之前都必须加以encode，避免不小心把html tag 弄出来。