腾讯XSS系列（共21篇）

这套《腾讯XSS系列》在网上流传的版本不少，但真正把 21 篇内容收齐、还带章节笔记的并不多。它不适合当成一门"从零学安全"的课来刷，更适合已经写过网页、见过表单和 URL 参数的人，拿来把 XSS 这条线一次性理顺。下面按我翻完之后的判断，说说哪些部分含金量高、资料包该怎么用。

先搞清楚它讲的是哪一类 XSS

标题写的是腾讯 XSS 系列，实际内容更偏向业务场景里的实战复盘：反射、存储、DOM 三种类型的边界在哪，编码与转义到底该在哪一层做，过滤规则为什么总被绕过。它不是把 OWASP 那套定义念一遍，而是拿具体的输入输出点去拆，比如参数回显到 HTML 属性、回显到 JS 变量、回显到富文本这几类位置，处理思路完全不同。判断一门 XSS 课值不值，就看它有没有把"上下文"讲透，这套在这一点上站得住。

21 篇里值得精看的部分

如果时间有限，我建议按这个优先级切：

• 讲编码与转义的几篇放最前面。HTML 实体、URL 编码、JS 转义混用是绝大多数漏洞的根源，这几篇看完，后面很多章节会变得很好懂。
• 涉及过滤绕过思路的篇目重点看。这里的价值不在记住某个 payload，而在理解"黑名单为什么必然失效"这个判断逻辑。
• 带真实业务场景复盘的章节，注意看它的输入点和输出点是怎么定位的，这是可以迁移到你自己项目里的排查方法。
• 纯概念铺垫的开头几篇可以快速过。如果你已经知道 XSS 是什么，这部分扫一眼确认术语口径即可。

反过来，如果你指望从这套里学到完整的漏洞挖掘流程或工具链，会失望。它的重心是"理解原理和构造思路"，不是教你用扫描器批量出洞。

资料包怎么拆开用

21 篇连着看容易疲，尤其是中间几篇节奏偏慢。我的用法是分两层：第一层通读一遍，只求建立"输入点—上下文—防御手段"的对应关系；第二层回头挑编码、绕过、场景复盘这几块精读，边看边在本地起个测试页面动手试。配套的章节笔记别只当复习材料，它更适合在你自己写完一段防御代码之后拿来对照，看思路有没有漏。笔记里如果有结论性的句子，抄进自己的技术笔记时最好补一句"为什么"，否则过两周就只剩结论、没有判断力了。

适合谁，不适合谁

适合的人：写过前端或后端、碰过用户输入处理、想把 XSS 从"听说过"变成"能说清楚"的人。学完能拿到的是对输入输出上下文的敏感度，以及一套可以复用的排查思路。

不适合的人：完全没写过网页、连 DOM 和 HTTP 请求都不熟的人，直接看会卡在术语上；以及想靠这一套去面试安全岗的人，它顶多算一块拼图，Web 安全还有 CSRF、注入、越权等一大堆线要补。

一个小提醒：这套内容是早年的实战总结，浏览器和一些框架的默认防护已经变了，看到具体 payload 时别照搬，重点吸收它的分析路径。把它当成"理解 XSS 思维"的材料，比当成 payload 手册有用得多。