前言 XSS 自动点按钮有什么危害? 在社交网络里,大多操作都是通过点击按钮发起的.例如发表留言,假如留言系统有 BUG,那么 XSS 就能自动点击发送按钮,发布带有恶意代码的留言.好友看了中招后,又传播给他们的好友,从而形成蠕虫扩散. 那么,有没有一种机制,让「发表按钮」必须通过用户的「真实点击」才能完成,而无法通过脚本自动实现? 实现 这个想法听起来好像不可行:如果发表留言需要带上用户行为信息,那么 XSS 完全可以伪造一份行为数据,后端根本无法识别. 除非,用户在点击按钮时会产生一个「特殊…