说明

日期：2025年5月9日。

内联脚本给跨站脚本攻击（XSS）留了条路。

示例

日期：2025年5月9日。

如下网页文件a.html：

<!-- 内联脚本块 -->
<script>
function handleClick{
alert("Hello");
}
</script><!-- 内联事件处理 -->
<button onclick="handleClick()">Submit</button>

修改为a.html和script.js两个文件。

<!-- 移除内联事件，在script.js文件中添加事件 -->
<button id="submitBtn">Submit</button><!-- 将<script>中的js代码放入script.js文件，并在body的最后位置引用它 -->
<script src="/static/script.js"></script>
</body>

document.getElementById("submitBtn").addEventListener("click", handleClick);
function handleClick{
alert("Hello");
}