xss发生的原因，恶意的插入脚本至代码中
恶意攻击者往Web页面里插入恶意Script代码，当用户浏览该页之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的。
反射型攻击
植入脚本放在url后面
然后在页面中打印出来
存储型
存储型攻击方式和反射型最大的区别就是不通过URL来传播，而是利用站点本身合法的存储结构，比如评论。任何用户都可以通过站点提供的接口提交评论内容，这些评论内容都被存储到服务器的数据库。当用户访问这些评论的时候，服务器从数据库提取内容插入到页面反馈给用户。如果评论内容本身是具备攻击性内容，用户无一幸免。
反射型
https://www.toutiao.com/search?item=
Xss 防护措施
针对 反射型攻击 可以在服务端对查询进行编码，主要目的就是将查询文本化，避免在浏览器解析阶段转换成为DOM和CSS规则和JS解析
1、HttpOnly
浏览器将禁止页面的JS访问带有HttpOnly属性的Cookie
2、检查输入
Xss本质就是一种“HTML注入”，用户的数据被当成HTML代码一部分来执行，从而混淆了原本的语义，产生了新的语义
CSRF--跨站点请求伪造
