发现HTML漏洞的关键是聚焦高危模式：用DevTools筛选on*事件、javascript:伪协议、v-html等注入点，检查重定向可控性、隐藏字段篡改、表单属性绕过及缺失安全响应头。
HTML代码本身不执行逻辑，但它是XSS、Clickjacking、重定向、隐藏字段篡改等漏洞的“发射平台”。发现漏洞的关键不是通读所有HTML，而是聚焦几类高危模式，用工具快速筛出可疑点，再人工验证上下文。
怎么用浏览器开发者工具揪出内联脚本和事件处理器
所有onclick、onerror、onload、javascript:伪协议，都是XSS高发区。它们比<script>标签更隐蔽，也更容易被忽略。
- 在Chrome DevTools的Elements面板按
Ctrl+F（Win）或Cmd+F（Mac），直接搜on[a-z]+=、javascript:、href="javascript: - 特别注意
<img src=x onerror=...>这类“无害外观”写法——它不依赖用户点击，只要图片加载失败就触发 - 检查
<a href="javascript:...">是否把敏感操作（如删除、支付）绑在JS里，而非走标准表单提交 - 若项目用了Vue/React，别只扫HTML源码；得在运行时打开Elements，搜
v-html或dangerouslySetInnerHTML，这些才是真正的“HTML注入口”
如何判断meta refresh或location跳转是否可控
重定向漏洞不看有没有跳转，而看跳转目标是否由用户输入决定。一旦URL拼接未经白名单过滤，就等于给攻击者开了外链直通车。
- 搜
<meta http-equiv="refresh"，重点看content属性里是否含request.getParameter、${param.next}、$_GET['url']等服务端变量插值 - 在Sources面板全局搜
location.href =、location.replace(、window.open(，检查右侧赋值是否来自location.search、location.hash或document.referrer - 真实测试：在URL后加
?redirect=https://evil.com，看页面是否真的跳过去；如果跳了，且没校验域名，就是漏洞 - 注意：有些跳转用
setTimeout包了一层，得展开调用栈看源头
为什么隐藏字段和表单属性不能信
type="hidden"只是视觉隐藏，对攻击者毫无意义。真正危险的是那些被当成“可信凭证”传给后端的值，比如价格、权限等级、订单ID。
立即学习“前端免费学习笔记（深入）”；
- 在Elements里找到所有
<input type="hidden">，右键“Break on > attribute modification”，然后交互操作，看JS是否动态改它的value - 搜
form action=，确认action是否硬编码；若为action="${userInput}"或action=document.getElementById(...).value，说明攻击者可控制提交目的地 - HTML5表单属性如
required、pattern、minlength全是客户端装饰，删掉就能绕过——但这不是漏洞本身，而是提醒你：后端必须重做同样校验 - 重点盯
<form>里的csrf-token字段：如果它没随每次请求刷新，或能被预测，整个表单就失去防CSRF能力
哪些安全头缺失会放大HTML漏洞危害
HTML漏洞能否落地，常取决于响应头是否给了攻击者发挥空间。没有X-Frame-Options或Content-Security-Policy，XSS和Clickjacking成功率会指数级上升。
- 在Network面板选任意HTML响应，看Response Headers里有没有
X-Frame-Options: DENY或Content-Security-Policy: frame-ancestors 'none' - 搜
Content-Security-Policy，检查是否包含script-src 'self'——若为'unsafe-inline'或宽泛的'unsafe-eval'，内联onclick就完全不受限 - 没有
X-Content-Type-Options: nosniff时，攻击者可能上传伪装成图片的JS文件，诱导浏览器当作脚本执行 - 缺少
Strict-Transport-Security会让HTTPS页面在HTTP下被劫持，所有前端防护形同虚设
最常被漏掉的不是某个标签，而是“数据流向”：一个href值从URL参数来，经JS处理后塞进onclick，再由用户点击触发——这个链条里任何一环没做上下文敏感编码，整条链就崩了。审计时得顺着数据走，而不是停在HTML语法层。
