xss盲打：並不是一種xss漏洞的類型，其實說的是一種xss的攻擊場景。
開始我們的實驗
隨便輸入后，（並不會在前端輸出）
是不是這種輸入 不輸出在前端就不會有問題呢？
再輸入彈窗試試（還是不在前端輸出）
管理員登陸后台，后台的界面會把我們輸入的內容輸出，后台的管理員會被X到。這種場景被稱為xss的盲打
點擊提示，模擬下后台登陸，輸入賬號admin 密碼123456
跨站腳本x的是后台。
xss繞過
xss繞過-過濾-轉換
0、說的是我們的安全措施不要在前端做，比如我們Pikachu的第一個反射型20個字符（前端標簽屬性指定的）
1、一種是正則匹配，另一種查找函數
2、拼湊，一般的替換邏輯只會替換一次。
3、我們再前端是可以插入一些注釋標簽的，后台可能不認識<scri<!--test-->pt>,並不會認為只是<script>標簽，從而繞過。
xss繞過-過濾-編碼
開始實驗
大小寫繞過
<ScripT>alert('giao')</ScripT>
img標簽
<img src=x onerror="alert('啊GIAO')">
xss之htmlspecialchars
php中用的比較多的方法—htmlspecialchars函數（php提供的對特殊字符的轉義）
之前我們說過xss一個比較關鍵的防范措施—當我們的數據在輸出的時候，我們要去做前端的實體的轉義
開始我們的實驗
輸入 111'"<>& 提交，查看網頁源碼ctrl+f搜索111
可以看到沒有對單引號做處理（這里可能就是用的默認的htmlspecialchars來做的后端過濾）
輸入giao' onclick='alert(666)'
我們看一下后端的代碼
