本文目录一览：
什么是xss攻击?
一、什么是跨站脚本攻击
跨站脚本攻击（Cross Site Scripting）缩写为CSS，但这会与层叠样式表（Cascading Style Sheets，CSS）的缩写混淆。通常将跨站脚本攻击缩写为XSS。
跨站脚本攻击（XSS），是最普遍的Web应用安全漏洞。这类漏洞能够使得攻击者嵌入恶意脚本代码到正常用户会访问到的页面中，当正常用户访问该页面时，则可导致嵌入的恶意脚本代码的执行，从而达到恶意攻击用户的目的。
二、跨站脚本攻击的种类
从攻击代码的工作方式可以分为三个类型：
1、持久型跨站：最直接的危害类型，跨站代码存储在服务器（数据库）。
2、非持久型跨站：反射型跨站脚本漏洞，最普遍的类型。用户访问服务器-跨站链接-返回跨站代码。
3、DOM跨站（DOM XSS）：DOM（document object model文档对象模型），客户端脚本处理逻辑导致的安全问题。
三、跨站脚本攻击的手段和目的
常用的XSS攻击手段和目的有：
1、盗用cookie，获取敏感信息。
2、利用植入Flash，通过crossdomain权限设置进一步获取更高权限；或者利用Java等得到类似的操作。
3、利用iframe、frame、XMLHttpRequest或上述Flash等方式，以（被攻击）用户的身份执行一些管理动作，或执行一些一般的如发微博、加好友、发私信等操作。
4、利用可被攻击的域受到其他域信任的特点，以受信任来源的身份请求一些平时不允许的操作，如进行不当的投票活动。
5、在访问量极大的一些页面上的XSS可以攻击一些小型网站，实现DDoS攻击的效果。
四、跨站脚本攻击的防御
XSS攻击主要是由程序漏洞造成的，要完全防止XSS安全漏洞主要依靠程序员较高的编程能力和安全意识，当然安全的软件开发流程及其他一些编程安全原则也可以大大减少XSS安全漏洞的发生。这些防范XSS漏洞原则包括：
1、不信任用户提交的任何内容，对所有用户提交内容进行可靠的输入验证，包括对URL、查询关键字、HTTP头、REFER、POST数据等，仅接受指定长度范围内、采用适当格式、采用所预期的字符的内容提交，对其他的一律过滤。尽量采用POST而非GET提交表单；对“”，“”，“；”，“””等字符做过滤；任何内容输出到页面之前都必须加以en-code，避免不小心把htmltag显示出来。
2、实现Session 标记（session tokens）、CAPTCHA（验证码）系统或者HTTP引用头检查，以防功能被第三方网站所执行，对于用户提交信息的中的img等link，检查是否有重定向回本站、不是真的图片等可疑操作。
3、cookie 防盗。避免直接在cookie中泄露用户隐私，例如email、密码，等等；通过使cookie和系统IP绑定来降低cookie泄露后的危险。这样攻击者得到的cookie没有实际价值，很难拿来直接进行重放攻击。
4、确认接收的内容被妥善地规范化，仅包含最小的、安全的Tag（没有JavaScript），去掉任何对远程内容的引用（尤其是样式表和JavaScript），使用HTTPonly的cookie。
LINK标签是什么意思怎么用，我是初学者，能不能讲讲
LINK是HTML语言中的一个标签。用链接(link)可以建立和外部文件的链接。
几个使用示例：
* shortcut icon ——地址栏最前面的小图标和收藏夹图标
link rel="shortcut icon" type="image/ico" href="/favicon.ico" /
* Alternate——定义交替出现的链接：如让本站地址栏检测显示rss链接(Maxthon2/firefox)
link rel="alternate" type="application/rss+xml" href= title="维尔网络" /
* Stylesheet ——定义一个外部加载的样式表
link rel="stylesheet" rev="stylesheet" href="" type="text/css" media="screen" /
html中link标签作用
HTML link 标签
实例
连接一个外部样式表：
headlink rel="stylesheet" type="text/css" href="theme.css" //head
浏览器支持、IE、Firefox、Chrome、Safari、Opera
在用于样式表时，link 标签得到了几乎所有浏览器的支持。但是几乎没有浏览器支持其他方面的用途。
定义和用法
link 标签定义文档与外部资源的关系。
link 标签最常见的用途是链接样式表。
HTML 与 XHTML 之间的差异
在 HTML 中，link 标签没有结束标签。
在 XHTML 中，link 标签必须被正确地关闭。
提示和注释：
注释：link 元素是空元素，它仅包含属性。
注释：此元素只能存在于 head 部分，不过它可出现任何次数。
全局属性
link 标签支持 HTML 中的全局属性。
事件属性
link 标签支持 HTML 中的事件属性。
TIY 实例
链接到一个外部样式表
本例演示如何 link 标签链接到一个外部样式表。