html安全审计需聚焦用户输入如何进入、内容如何输出、浏览器如何解析三环节；重点排查innerhtml、document.write等高危操作及服务端模板未转义输出，结合burp抓包动态分析反射点与响应头注入。
HTML网页的安全审计不是“扫一遍源码就完事”，而是要盯住用户输入如何进、内容如何出、浏览器怎么解析这三个关键环节。不理解数据流向，光看标签或属性名，90%的漏洞会漏掉。
怎么快速定位HTML层的XSS和注入点
核心是找“用户输入 → 直接拼入HTML”的路径。重点检查：innerHTML、document.write()、eval()、setTimeout()（带字符串参数时）、location.href赋值、iframe.src动态设置等高危操作。
- 用浏览器开发者工具的“搜索”功能全局搜
innerHTML=、.write(、src=.*\+这类模式，比人工翻JS快得多 - 注意那些看似安全但实际危险的写法，比如
el.insertAdjacentHTML('beforeend', userInput)—— 它和innerHTML一样不编码 - 如果页面用了模板引擎（如 Handlebars、Vue 的
v-html），得确认是否对变量做了转义；{{ user.name }}安全，{{{ user.bio }}}或v-html="user.bio"就是雷区 - 别只看 JS 文件，很多 HTML 注入发生在服务端渲染后直接把参数塞进
<title></title>、<meta name="description">或<script>var config = {...}</script>里
为什么用Burp抓包比单纯看源码更有效
因为大量 HTML 内容是动态加载的：AJAX 返回的 HTML 片段、前端路由渲染的组件、错误提示弹窗等，这些在初始 HTML 源码里根本不存在。不抓包，等于只看了冰山一角。
- 开启 Burp 的 “Streaming” 模式，过滤响应类型为
text/html和application/json，重点观察返回体中是否包含 URL 参数、表单字段、搜索关键词等用户可控内容 - 对每个疑似反射点，手动修改请求参数，比如把
q=test改成q=%3Cimg%20src%3Dx%20onerror%3Dalert(1)%3E，再看响应里是否原样出现未编码的 payload - 特别留意 404 页面、登录失败提示、异常堆栈页——这些页面常把原始请求路径或参数直接回显到
<h1></h1>或<p></p>中，是经典反射型 XSS 入口
HTML头部注入和CRLF注入怎么验证
这类漏洞不在 DOM 渲染层，而在 HTTP 协议层，必须通过修改请求头或参数触发响应头污染，不能靠前端 JS 分析。
- 测试点集中在能影响响应头的地方：重定向跳转（
Location）、自定义 Cookie（Set-Cookie）、页面框架策略（X-Frame-Options）、内容类型（Content-Type）等 - 构造 CRLF payload 时，优先用
%0d%0a（URL 编码后的 \r\n），例如请求/search?redirect=/login%0d%0aSet-Cookie:%20sessionid=hacked，然后看响应头里是否多出一行Set-Cookie - 如果服务端做了换行符过滤，尝试绕过：用
%0a（仅 LF）、%0d（仅 CR）、%23%0d%0a（加#注释）、或大小写混合的%0D%0A - 成功注入响应头后，下一步是看能否链式利用：比如注入
Content-Type: text/html配合后续 XSS，或注入Location: javascript:alert(1)触发跳转型 XSS
最常被忽略的是 HTML 注入与服务端模板的耦合点：比如 PHP 的 echo $_GET['title'] 输出到 <title></title> 标签内，表面只是文本，但若攻击者闭合标签再插脚本（?title=<script>alert(1)</script>），整个页面结构就被破坏了。这种漏洞不依赖 JS 执行环境，连禁用 JS 的用户也会受影响。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
