腾讯XSS系列（共21篇）

先说结论：这套《腾讯XSS系列（共21篇）》不适合当成"软考考证"的备考资料来买。它的分类标签和实际内容对不上，如果你是为了考软考中级或高级的信息安全相关科目，里面的内容顶多算课外补充，不是考点覆盖。它真正适合的，是想搞明白Web前端安全里XSS到底怎么回事、并且愿意动手复现的开发者或测试人员。

它解决的是哪种工作场景

日常开发里，XSS属于那种"听说过、被扫描器报过、但说不清具体怎么利用"的问题。安全测试报告甩过来一条"存在反射型XSS"，前端改了一通转义，复测通过，但为什么这样改就安全了、还有没有漏的，心里没底。

这套内容围绕的就是这个断层：从XSS的基本分类讲起，落到具体的注入点和触发条件，再往上看腾讯在真实业务里是怎么发现和处理的。它不解决"如何通过某门考试"，解决的是"下次再遇到XSS告警，你能自己判断真假、定位到代码、说清修复方案"。

学完能独立做什么

• 能区分反射型、存储型、DOM型三类XSS的触发路径，而不是笼统地都说"过滤一下"
• 能自己在测试环境构造一个可触发的XSS场景，验证某段输出到底有没有被正确编码
• 看懂常见框架（模板引擎、前端渲染）里哪些写法会引入风险，哪些是安全的默认行为
• 面对安全测试给出的XSS问题单，能定位到具体是哪一层没做好转义或过滤

这些是"能上手做"的层面。至于更深的漏洞挖掘、绕过WAF的花式技巧，这套内容有涉及但不算深入，指望学完就能去打SRC拿赏金，预期要调低一些。

资料适合什么基础

有基本的HTML、JavaScript和HTTP请求概念就能跟下来。如果完全没写过前端、不知道cookie和DOM是什么，前期会比较吃力，建议先补一下再回来。

另一方面，如果你已经是做安全测试的老手，这套内容偏基础的部分会显得啰嗦。它的价值更集中在中间那些结合实际业务场景的分析上，这部分对于从开发转安全、或者做前后端开发想补安全短板的人最划算。

怎么用这套资料

不建议一次性刷完21篇。XSS这东西光看不动手，看完就忘。比较实际的做法是：每看完一个类型，自己搭个本地页面把注入过程复现一遍，看浏览器里到底发生了什么。复现不出来的地方，恰恰是你没理解透的地方。

笔记建议按"触发条件—利用方式—修复手段"三栏来记，比抄概念有用得多。系列里涉及腾讯业务场景的部分，重点看思路而不是照搬结论，因为各家的技术栈和业务形态不一样，能迁移的是分析方法。

最后提醒一句：分类标着"软考考证"这件事，可能是上传时的归类问题。冲着考证来的，先去确认考纲，别在这套上耗时间；冲着把XSS搞明白来的，它值得花几个晚上认真过一遍。