对 Web 页面注入脚本，使用 Javascript 窃取用户信息，诱导用户操作。 比如把 cookie 发送到自己的脚本
分为反射性：
url参数和用户输入内容没有加以过滤直接显示,主要是由于服务端接收到客户端的不安全输入，在客户端触发执行从而发起 Web 攻击。 反射型 XSS 的恶意代码存在 URL 里。
在某购物网站搜索物品，搜索结果会显示搜索的关键词。搜索关键词填入<script>alert('handsome boy')</script>, 点击搜索。页面没有对关键词进行过滤，这段代码就会直接在页面上执行，弹出 alert。
存储型：基于存储的 XSS 攻击，是通过提交带有恶意脚本的内容存储在服务器上，用户打开目标网站时，网站服务端将恶意代码从数据库取出，拼接在 HTML 中返回给浏览器。
这种攻击常见于带有用户保存数据的网站功能，如论坛发帖、商品评论、用户私信等。
