Cross-Site Scripting: Self

傳送未經驗證的資料至網路瀏覽器，會導致瀏覽器執行惡意的程式碼。

Cross-Site Scripting (XSS) 弱點會在以下情況中出現：

1.資料從一個不可信賴的來源進入 Web 應用程式。在自我 XSS 的案例中，會從文字方塊或可從 DOM 控制的其他值來讀取資料，並以用戶端程式碼回寫到頁面中。


2.未經驗證且包含在動態內容中的資料將傳送給某個網頁使用者。在自我 XSS 的案例中，惡意內容會做為 DOM (Document Object Model，文件物件模型) 修改的一部分執行。

在自我 XSS 的案例中，惡意內容是以 JavaScript 片段，或瀏覽器執行的其他程式碼類型的形式出現。由於自我 XSS 主要是對自己的攻擊，所以常被認為不重要，但如果可能發生下列任一情況，則應視為標準 XSS 弱點來處理：

- 在您的網站上識別出「跨網站偽造要求」弱點。
- 社交工程攻擊可能說服某個使用者攻擊自己的帳戶，進而危及其階段作業。
範例 1：請考慮使用 HTML 表單：

<div id="myDiv">
  Employee ID: <input type="text" id="eid"><br>
  ...
  <button>Show results</button>
</div>
<div id="resultsDiv">
  ...
</div>

以下的 jQuery 程式碼片段會從文字方塊讀取員工識別碼，並顯示給使用者。

$(document).ready(function(){
  $("#myDiv").on("click", "button", function(){
    var eid = $("#eid").val();
    $("resultsDiv").append(eid);
    ...
  });
});

如果文字輸入中的員工識別碼 (識別碼為 eid) 只包含標準英數字元，這些程式碼便會正確地運作。如果 eid 中有包含中繼或來源程式碼中的值，那麼在使用者按一下按鈕後，程式碼就會被新增至 DOM 供瀏覽器執行。如果攻擊者可以說動使用者將惡意內容輸入文字輸入中，那麼這就只是 DOM 型 XSS。