xss反射攻擊是攻擊者通過特定手法，誘使用戶去訪問一個包含惡意代碼的URL，當受害者點擊這些專門設計的鏈接時，惡意代碼會直接在受害者主機上的瀏覽器執行，例如以下代碼：
response = '<h1>Hello, %s!</h1>' % name;
如果惡意用戶輸入一段javascript代碼作為查詢參數name的值：
http://example.com/hello?name=<script>alert('Attack!');</script>客戶端接收的響應將變為以下代碼：
<h1>Hello, <script>alert('Attack!');</script>!</h1>這樣原本的展示標題就有了彈窗，所以可以通過這種方式執行任意JavaScript代碼。
