腾讯XSS系列（共21篇）

这套资料是「心伤的瘦子」早年在腾讯做的一系列 XSS 主题分享，共 21 篇，按主题成篇而非按课时切分。它不绑定某一种语言或框架，讨论的是浏览器解析、HTML 上下文、编码与过滤之间的边界问题——这意味着无论你现在写 PHP、Java、Node 还是前端 React，里面的构造思路都能直接迁移。

技术栈与前置要求

内容以 Web 安全基础为主，涉及 HTML/JavaScript 基础、HTTP 请求与响应、Cookie 与同源策略。阅读时需要能看懂一段表单提交的请求，能自己搭一个本地 Web 环境做验证。不要求你会写利用工具，但需要愿意打开浏览器控制台打断点、看 DOM 树、观察参数在页面里的落点。

系列里出现的场景大多基于传统的服务端渲染页面，这对理解现代前端框架里的 XSS 反而更有利：先看清数据从 URL 到 HTML 再到 JavaScript 的流转路径，再去看框架的自动转义机制为什么能挡住一部分、又为什么挡不住dangerouslySetInnerHTML这类显式开口。

内容结构：从上下文到构造

21 篇大致可以归为几层。第一层讲清楚 XSS 的分类与成因，把反射、存储、DOM 三类的触发路径分开说明，这是后面所有讨论的地基。第二层进入具体上下文，标签之间、属性值内、script块里、style与 URL 里，每个位置的闭合方式和可用字符集都不一样，这一层是最能体现作者经验的部分。第三层涉及编码与过滤对抗，包括实体编码、URL 编码、Unicode 与大小写变换在绕过中的作用，以及黑名单过滤常见的失效点。第四层回到防御，讨论输出编码该按什么规则做、CSP 能覆盖到什么程度、HttpOnly 解决了哪一部分问题。

这套资料的价值不在于给出多少个可用的 payload，而在于把「为什么会在这里执行」这件事讲透。带着这个视角去看，每一篇都能对应到你自己项目里的一处数据处理点。

配套笔记与复盘方式

每篇相对独立，适合按顺序读完后回头挑重点重看。建议的用法是：读一篇，就在自己的项目里找一处对应的输出位置，手工验证一遍过滤逻辑是否成立，把结论写进笔记。这种「读一节—验一处—记一条」的节奏，比连续刷完更有效，因为 XSS 的判断依赖具体上下文，脱离代码看结论很容易记成口诀而用不出来。

可复用模块与工程切入点

• 输出编码规则：按 HTML 文本、属性、URL、JS 字符串分别确定编码方式，可以直接整理成项目里的编码速查表或工具函数。
• 输入校验与输出编码的分工：明确校验解决格式问题、编码解决注入问题，避免把所有责任压在过滤函数上。
• 过滤逻辑的自测用例：把系列里提到的边界字符整理成一组回归测试，放进 CI，比事后人工排查可靠。
• CSP 配置：从报告模式起步收集违规来源，再逐步收紧，是能直接落到现有站点的工程动作。

如果你在做代码审计、安全测试或带新人的 Web 基础培训，这套资料可以当作一份对照材料：先看它怎么切分问题，再回到自己的代码库逐处核对。

适合谁，以及怎么用

适合已有一定 Web 开发经验、想把安全从「知道有这回事」推进到「能判断某段代码是否安全」的开发者，也适合准备安全方向面试、需要把零散知识串成体系的人。不建议零基础直接开始，先写过几个完整的表单提交与页面渲染流程，读起来会顺畅得多。

最后提醒一点：所有构造与验证都应在自己搭建的本地环境或授权范围内进行。这套资料本身讲的是防御视角下的原理，把它用在未授权的目标上，与学习目的无关。