搜索框把“”回显到结果页时，为什么看似普通的字符串可能变成浏览器执行脚本的入口？读完后，你能追踪不可信数据进入页面的路径，检查模板是否自动转义，并按 HTML、属性、URL 等输出位置选择正确编码。文章目录搜索回显把标签当成页面内容的现象核心概念与工作机制最小示例验证结果常见误区与适用边界总结搜索回显把标签当成页面内容的现象设想页面收到如下请求，其中查询参数携带了看似 HTML 标签的文本：GET /?message=%3Cimg%20src%3Dx%20onerror%3Dalert%281%29%3E HTTP/1.1 Host: 127.0.0.1:5000如果服务端直接把message拼接进响应 HTML，浏览器会把img解析为元素，并可能触发onerror中的脚本。相反，自动转义后的响应体会包含lt;img ... gt;，浏览器将其还原为可见文字，而不是创建图片元素。页面中应看到完整的img src=x onerror=alert(1)字符串，且不会弹出提示框。核心概念与工作机制关键术语XSS（跨站脚本攻击）指攻击者设法让网站向浏览器输出可执行内容，从而在该网站的来源权限下运行脚本。不可信内容不仅来自表单，也可能来自 URL 查询参数、数据库中曾保存的昵称、第三方接口返回值、HTTP 头或管理后台录入的数据。输入校验用于判断数据是否符合业务规则，例如昵称长度、邮箱格式或允许的 URL 协议。HTML 输出转义则是在写入页面时，把具有 HTML 语义的字符编码为普通文本。两者目标不同：校验不应代替输出转义。