用途：识别和验证Web应用中的HTML注入漏洞，评估篡改页面、构造钓鱼表单、注入链接等风险，并输出漏洞报告、利用证明、影响评估与修复建议。需与XSS区分：HTML注入只渲染HTML标签，不执行JavaScript。
主要能力：覆盖反射型（GET/POST、URL路径）与存储型注入；涉及搜索框、评论、个人资料、联系表单、错误信息、页面标题、隐藏字段、Cookie等注入点。支持基础标签、链接、图片、CSS样式、meta刷新跳转、表单动作劫持、iframe嵌入等测试手法，并提供大小写、编码、标签拆分、空字节、双重编码等绕过思路，以及Burp Suite、OWASP ZAP和自定义脚本的自动化测试流程。
使用方式：需浏览器开发者工具、Burp Suite或OWASP ZAP、代理工具及cURL。示例：curl "http://target.com/search?q=<h1>Test</h1>"；POST 测试：curl -X POST -d "comment=<div style='color:red'>Malicious Content</div>" http://target.com/submit。自动化可用Burp Intruder加载HTML注入字典，或ZAP主动扫描后人工验证。
修复：PHP用htmlspecialchars或strip_tags，Python用html.escape或Jinja2自动转义，JavaScript优先textContent、避免innerHTML，必要时用DOMPurify清洗；服务端配合输入白名单校验、上下文输出编码、CSP与WAF规则。
限制：现代浏览器可能净化部分注入，CSP会阻止内联样式和脚本，WAF可能拦截常见载荷，部分应用已正确转义输出。严重性通常低于XSS，但结合钓鱼时影响更大。应仅在获得授权的测试环境中使用，并区分HTML注入与XSS、跨浏览器验证、区分存储型与反射型。