<!DOCTYPE html>
<html>
<head>
<title></title>
</head>
<body>
<script>alert('123')</script>
</body>
</html>
这个页面，只能打印出
<script>alert(\'123\')</script>
但是如果改成这样
<!DOCTYPE html>
<html>
<head>
<title></title>
</head>
<body>
<script>alert(\'123\')</script>
</body>
</html>
可以弹框
说明转义字符在html页面解析的时候不能立即执行，它只是把字符转义了，用于显示
类似的php代码
<?php
$abc=\'<script>alert('123')</script>\';
$abcd=\"<script>alert(\'123123\')</script>\";
echo $abc;
?>
只能显示出<script>alert(\'123\')</script>
如果改成
<?php
$abc=\'<script>alert('123')</script>\';
$abcd=\"<script>alert(\'123123\')</script>\";
echo $abcd;
?>
则会弹窗
这就告诉我们用xss脚本注入，通过转义字符的方式是没戏的
版权声明
本文仅代表作者观点，不代表百度立场。
本文系作者授权百度百家发表，未经许可，不得转载。
