HTML页面是XSS等漏洞的载体，检测需结合流量捕获、响应头分析与动态渲染；ZAP可识别缺失安全头但需人工验证关键路径，Burp适合定向注入测试，浏览器开发者工具用于发现隐藏风险，Acunetix增强富文本和DOM XSS检测，最终漏洞修复责任在人而非工具。
HTML页面本身不执行逻辑，但它是XSS、Clickjacking、参数篡改、富文本注入等漏洞的直接载体。检测不能只看源码，必须结合流量捕获、响应头分析和动态渲染行为——工具只是放大器，关键在你盯住哪几个点。
用OWASP ZAP抓请求并查响应头缺失
很多XSS和框架嵌入漏洞，根源不在代码写得有多错，而在于服务器没发对安全头。ZAP能自动标记“Missing X-Frame-Options”或“Missing Content-Security-Policy”，但你要确认它真扫到了关键路径。
- 启动ZAP后，把浏览器代理设为
localhost:8080，手动访问目标页面（别只靠爬虫，有些路由需要登录态才能触发） - 在“站点”树里右键目标URL → “主动扫描”，ZAP会发带
X-Frame-Options: DENY试探的请求，同时检查返回头是否真包含该字段 - 如果ZAP报“Clickjacking Vulnerability”，但你发现页面其实有
frame-ancestors 'self'，那大概率是ZAP没识别CSP新语法——得人工点开响应头核对 - 注意：ZAP默认不扫描
data:或javascript:伪协议，这类绕过需手动在“HTTP Fuzzer”里加Payload
用Burp Suite拦截并修改URL参数测注入点
URL参数是XSS和SQL注入的常见入口，但自动化工具常因JS渲染延迟或前端校验误判。Burp的Repeater和Intruder更适合做定向验证。
- 在浏览器中触发一次正常请求（比如
/search?q=test），进Burp的Proxy → HTTP history里找到这条记录，右键发送到Repeater - 在Repeater中把
q改成<img src=x onerror=alert(1)>，点Go，看响应体是否原样返回这段HTML - 如果返回了但没弹窗，别急着判“无XSS”——打开浏览器开发者工具，检查DOM里这段是否被插入到
innerHTML上下文；若插在textContent里，就安全 - 对数字型参数（如
/user?id=123），用Intruder跑' OR '1'='1和1' UNION SELECT password FROM users--，观察响应状态码和长度突变
用浏览器开发者工具直查HTML隐藏风险
工具扫不出注释里的密钥、display:none里的测试账号、或meta标签中泄露的版本号。这些全靠人工翻源码，且必须在渲染后看Elements面板，不是Ctrl+U看原始HTML。
立即学习“前端免费学习笔记（深入）”；
- 按F12 → Elements → Ctrl+F搜
<!--，重点看注释里有没有TODO: remove before prod或硬编码的api_key=xxx - 搜
class="hidden"或style="display:none"，展开节点看里面是否藏了调试用的admin_token或未脱敏的手机号 - 在Console里执行
document.querySelectorAll('iframe[src]')，检查所有iframe的src是否来自不可信域名，尤其注意src由URL参数拼接的场景（如src=+new URLSearchParams(location.search).get('url')） - 搜
eval(、setTimeout(、setInterval(，这些动态执行函数一旦拼接用户输入，就是高危XSS温床
用Acunetix扫富文本和JS上下文XSS
普通扫描器对富文本编辑器输出或DOM-based XSS识别率低，AWVS（Acunetix）的JS分析引擎能跟踪innerHTML赋值链，但前提是它得先爬到触发该逻辑的页面。
- 添加扫描目标时，勾选“Scan JavaScript files”和“Analyze DOM-based XSS”，否则它默认跳过
.js文件 - 如果目标有富文本提交表单，手动在“Configuration → Scan Policy”里把“Maximum number of forms to submit”调高（默认5太保守）
- AWVS报“Reflected XSS in HTML context”是基础项，但若它没报“DOM XSS in document.write()”，不代表没有——得自己在Sources面板里搜
document.write(，看参数是否来自location.hash或document.referrer - 注意AWVS对
svg/onload或math/mi等冷门标签支持有限，这类Payload仍需手工塞进Repeater验证
真正卡住人的不是工具不会用，而是分不清哪些漏洞必须服务端修复（比如没设X-Frame-Options）、哪些能前端补救（比如把innerHTML换成textContent）、哪些压根没法靠工具覆盖（比如业务逻辑导致的权限绕过）。工具只告诉你“这里可能有问题”，结论得你来画。
