用途：对 Web 应用执行客户端注入漏洞评估，识别 XSS 与 HTML 注入缺陷，验证输入净化与输出编码机制，并在授权范围内演示会话劫持和凭据窃取等影响，覆盖存储型、反射型和 DOM 型攻击向量。
主要能力：
- 漏洞检测。定位输入回显点，如搜索框、查询参数、用户资料字段、URL 片段、错误信息、隐藏表单字段、HTTP 头等；通过插入测试串观察是否原样回显、部分编码或触发 JavaScript 执行，并判断 XSS 类型。
- 存储型利用。定位评论、论坛、资料、评价、私信、上传元数据等持久化位置，构造持久载荷。
- 反射型利用。构造恶意 URL 并通过钓鱼邮件、社交消息、短链、二维码等方式投递。
- DOM 型利用。识别 document.write、innerHTML、eval 等危险汇聚点，以及 location.hash、location.search、postMessage 等数据源。
- HTML 注入。通过内容注入、表单劫持、CSS 注入、iframe 注入等方式篡改页面。
- 过滤绕过。涵盖大小写变体、替代标签、畸形标签、HTML 实体/十六进制/Unicode 编码、JS 混淆、空白与注释绕过等手法。
- 交付物。输出含严重性分级的漏洞报告、概念验证载荷、受控环境下的会话劫持演示及修复建议（含 CSP 配置）。
必要用法：需目标 URL 与输入字段、Burp Suite 或浏览器开发者工具、可创建测试账号、启用 JS 控制台的浏览器；测试者需理解浏览器 JS 执行、HTML DOM、HTTP 头、Cookie 属性与会话管理。测试前须获得书面授权，明确目标域名与功能范围，约定捕获会话数据的处理方式并建立事件响应流程。
适用场景：授权渗透测试、漏洞赏金、上线前安全评估、开发团队安全自查。
限制：不得注入可能破坏生产系统的载荷；会话捕获仅限演示；避免蠕虫式传播载荷；不得超出范围外泄真实用户数据。技术上，CSP 可能阻止内联脚本，HttpOnly 阻挡 JS 读取 Cookie，SameSite 限制跨站攻击，现代框架常自动转义输出。法律与伦理上，无书面授权不得测试，发现严重漏洞须立即报告，捕获凭据按数据保护协议处理，不得利用漏洞进行未授权访问。