XSS，即（CrossSiteScripting）中文名称为跨站脚本攻击。XSS的重点不在于跨站攻击而在于脚本攻击。攻击者可以利用web应用的漏洞或缺陷之处，向页面注入恶意的程序或代码，以达到攻击的目的。通俗的来说就是我们的页面在加载并且渲染绘制的过程中，如果加载并执行了意料之外的程序或代码（脚本、样式），就可以认为是受到了XSS攻击。
XSS的危害通过document.cookie盗取cookie中的信息使用js或css破坏页面正常的结构与样式流量劫持（通过访问某段具有window.location.hf定位到其他页面）dos攻击：利用合理的客户端请求来占用过多的服务器资源，从而使合法用户无法得到服务器响应。并且通过携带过程的cookie信息可以使服务端返回开头的状态码，从而拒绝合理的请求服务。利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作，并且攻击者还可以利用iframe，frame进一步的进行CSRF攻击。控制企业数据，包括读取、篡改、添加、删除企业敏感数据的能力。XSS攻击分类XSS根据攻击是否持久，可以分为“反射型XSS”与“存储型XSS”两种。“反射型XSS”攻击者通过包装特定的连接，并将链接发送给实际的用户来进行攻击。“反射型XSS”攻击一般是利用前端代码的漏洞或缺陷，比如使用Eval来解析执行动态传入的数据，或者是一些被后端接受处理后再返回前端展示的URL参数等，其操作手法很类似于钓鱼攻击。“存储型XSS”攻击是通过表单提交，抓包工具，直接调用接口等形式向后端数据库注入数据。一旦被注入成功，并在输出的页面上没有做任何防范措施，那么所有访问这个页面的用户都会被攻击。总的来说，“反射型XSS”是一种局部非持久的针对性攻击，而“存储型XSS”就要严重的多，它是一个全面大范围可持久型的攻击。
xss攻击示例反射型攻击-前端URL参数解析正常页面链接：