目录介绍：

• 1、关于web开发中用到的URL转码问题，以及xss攻击的疑问。
• 2、为什么xss注入执行了，刷新就没了，对其他人没有影响
• 3、chrome的XSS保护功能拒绝执行JavaScript代码怎么办？

关于web开发中用到的URL转码问题，以及xss攻击的疑问。

首先传递到你的后台是不会自动解码的，但是浏览器会自动解码，所以当黑客把有攻击性的URL通过encode编码方式发送到你们后台时，如果没有通过decodeURI()来解码（解码的目的是为对解码后的链接进行判断，防止参数含有XSS），那么这段代码可能会通过系统对参数的XSS过滤，从而展现到前台，由于浏览器会自动解码（浏览器中含有decode函数），所以没有被过滤的XSS会被执行。

为什么xss注入执行了，刷新就没了，对其他人没有影响

XSS注入的本质

就是: 某网页中根据用户的输入, 不期待地生成了可执行的js代码, 并且js得到了浏览器的执行. 意思是说, 发给浏览器的字符串中, 包含了一段非法的js代码, 而这段代码跟用户的输入有关.

常见的XSS注入防护, 可以通过简单的 htmlspecialchars(转义HTML特殊字符), strip_tags(清除HTML标签) 来解决, 但是, 还有一些隐蔽的XSS注入不能通过这两个方法来解决, 而且, 有时业务需要不允许清除HTML标签和特殊字符. 下面列举几种隐蔽的XSS注入方法:

IE6/7 UTF7 XSS 漏洞攻击

chrome的XSS保护功能拒绝执行JavaScript代码怎么办？

这是因为Chrome的安全机制CSP。

推荐的做法：

不要把代码直接写在html元素里面，而是把button的click事件绑定的代码，放到一段script中