快速发现xss输出点关键看用户输入是否未经转义进入dom，常见位置包括url参数反射、表单回显、富文本区；开放重定向需检查window.location操作、meta refresh及href中动态拼接的redirect/next等参数。
HTML网站漏洞检测不是靠“扫一遍就完事”，而是要分清楚哪些是前端可直接暴露/触发的，哪些必须配合后端逻辑才能验证。绝大多数高危问题（如XSS、开放重定向、框架嵌入）在纯HTML层就能观察到痕迹，无需登录或复杂交互。
怎么快速发现页面是否存在XSS输出点
关键不是看有没有<script></script>，而是看用户输入是否未经转义就进了DOM。常见位置包括：URL参数反射（如?q=xxx）、表单回显、富文本展示区、AJAX返回的HTML片段。
- 手动测试时，在输入框或URL中插入
<img src="x" onerror="alert(1)">，提交后检查控制台是否有报错、DOM里是否生成了该标签、是否弹窗 - 特别注意
innerHTML、document.write()、eval()、setTimeout()等高危API的调用位置——它们常出现在动态加载内容的JS中 - 如果用了React/Vue等现代框架，默认对插值做了转义，但绕过仍可能发生：比如
v-html或dangerouslySetInnerHTML直接受控于用户输入，就是明确的XSS入口
如何判断是否存在开放重定向或非法跳转
重点盯住所有能改变window.location的地方，以及<meta http-equiv="refresh">和<a></a>标签的href属性是否动态拼接。
- 检查URL中是否含
redirect_to、url、next、return_url等参数，尝试改成https://evil.com，看是否302跳转或前端JS直接执行跳转 - 搜索JS文件中是否有
window.location.href =、.replace()、.assign()，并确认右侧值是否来自location.search、location.hash或document.referrer - 警惕
javascript:伪协议，例如<a href="javascript:alert(1)"></a>——哪怕只是前端显示，也可能被用于钓鱼诱导
怎么识别iframe嵌入风险与Clickjacking
这不是“有没有<iframe></iframe>”的问题，而是“能不能被别人<iframe></iframe>你的页面”。
- 用浏览器开发者工具打开Network面板，刷新页面，查看任意响应头中是否缺失
X-Frame-Options或Content-Security-Policy中的frame-ancestors指令 - 本地建一个测试HTML文件，用
<iframe src="https://yoursite.com"></iframe>加载目标页，如果能正常显示且没报错，说明未设防 - 检查页面内
<iframe></iframe>是否带sandbox属性；若无，且src指向第三方不可信域名，可能被用于恶意渲染或权限提升
为什么自动化扫描器经常漏掉真实漏洞
因为它们看不懂业务逻辑。比如一个user_id参数看似只用来查数据，但如果它同时被拼进document.write()或eval()，工具很难关联这两步。
- OWASP ZAP/Burp的被动扫描能捕获明显缺陷（如缺失
X-Frame-Options），但对JS中动态拼接跳转、富文本过滤绕过、双重编码XSS等场景覆盖有限 - 真正有效的检测，必须结合人工代码审计：逐行看JS里哪些变量来自
URLSearchParams、localStorage、fetch()响应，再看它们最终去了哪儿 - 最容易被忽略的是“合法功能被滥用”——比如一个允许上传封面图的
<video></video>标签，如果src直接绑定用户输入的URL，就可能变成XSS载体
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
