OWASP TOP 10
OWASP(开放式Web应用程序安全项目)的工具，文档，论坛额全球各地分会都是开放的，对所有致力于改进应用程序安全的人士开放，最具权威的就是10项目最严重的Web应用程序安全风险列表
Cross Site Scripting（XSS）
跨站脚本攻击是指恶意攻击者往Web页面里插入恶意的Script代码，当用户浏览该页面之时，嵌入其中Web里面的Script代码会被执行，从而达到恶意攻击用户的目的
xss漏洞通常是用过php的输出函数将JavaScript代码输出到html页面中，通过用户本地浏览器执行的，所以在代码审计中xss漏洞关键就是寻找参数未过滤的输出函数
XSS分类
反射型XSS<非持久化>
攻击者事先制作好攻击链接，需要欺骗用户自己去点击链接才能触发XSS代码，一般容易出现在搜索页面。DOM信号型XSS由于危害较小，我们将其归为反射型XSS。
存储型XSS<持久化>
代码吃存储在服务器中的，如在个人信息或发表文章等地方，加入代码，如果没有过滤或过滤不严，那么这些代码将存到服务器中，每当有用户访问该页面的时候都会触发代码执行，这种XSS非常危险，容易造成蠕虫，大量盗窃cookie（虽然还有种DOM型XSS，但是也还是包括在存储型XSS内）
