是注入攻击的一种。其特点是不对服务器端造成任何伤害，而是通过一些正常的站内交互途径，将包含js脚本的内容提交后台, 后台没有进行验证过滤返回给浏览器端显示。
例如发布评论，提交含有 JavaScript 的内容文本, 这时服务器端如果没有过滤或转义掉这些脚本，作为内容发布到了页面上，其他用户访问这个页面的时候就会运行这些脚本
场景：用户评论：
正常情况：
用户A提交评论内容为 字符串‘我要好好学习，天天向上’，服务器获取参数
在返回的评论数据中添加该字符串，前后获取遍历显示在页面，结果: <p>我要好好学习，天天向上</p>
xss攻击:
提交评价内容为: ‘<a href='东京热'>我要好好学习，天天大保健</a>’服务器获取参数在返回的评论数据中添加该字符串，前后获取遍历显示在页面，结果: <p><a href='xxx'>我要好好学习，天天大保健</a></p>
例如发布评论，提交含有 JavaScript 的内容文本, 这时服务器端如果没有过滤或转义掉这些脚本，作为内容发布到了页面上，其他用户访问这个页面的时候就会运行这些脚本
场景：用户评论：
正常情况：
用户A提交评论内容为 字符串‘我要好好学习，天天向上’，服务器获取参数
在返回的评论数据中添加该字符串，前后获取遍历显示在页面，结果: <p>我要好好学习，天天向上</p>
xss攻击:
提交评价内容为: ‘<a href='东京热'>我要好好学习，天天大保健</a>’服务器获取参数在返回的评论数据中添加该字符串，前后获取遍历显示在页面，结果: <p><a href='xxx'>我要好好学习，天天大保健</a></p>
