JavaScript的 Cross Site 脚本注入风险
今天有人来公司推销网站安全扫描软件，演示了对JS的跨域脚本注入风险的扫描，以前没意识到，今天有所了解。如果您的程序页面有以下情况，那么JS脚本注入的风险就很大：
1）页面打开时，URL 有某个参数，例如 XXPage.aspx?XXParam=XXValue
2）aspx页面里有如下代码：
<script>
var p = "<%=Request["XXParam"];%>";
</script>
注入风险如下：
1）黑客假冒网站身份发送邮件给用户，用户打开网页链接，链接虽然是指向 XXPage.aspx，但 XXParam 却被做了改造，例如：XXParam 被设置为 "; document.location.href = 'http://www.xxx.com/XXFakePage.aspx';//"。注意，前面的双引号是用来屏蔽 var p = " 的，后面紧接着就是一个JS页面跳转语句；最后面的 //" 是用来屏蔽 JS 脚本中的后引号的。
你猜结果会怎么样？页面直接被跳转到 http://www.xxx.com/XXFakePage.aspx，如果这个页面是假冒页面，并且这个页面是嵌入在 Frameset 里的，那用户会在毫无觉察的情况下，把注入用户名、密码、银行卡账号密码提交到假冒页面上！！
对策：
方法一：不要用 <%=Request["XXParam"];%> 来解析参数值，而直接用 JS 脚本从URL获取参数值
方法二：把参数值先放在 HIDDEN 控件里，例如: <input type=hidden id=xxhid value="<%=Server.HtmlEncode(Request["XXParam"]);%>"> 里，然后在 JS 里改为 var p = document.all.xxhid.value;
应该还有其他方法，以上方法只是示意，没有去编译，仅供参考。
相关文档：
function MyObject1(formalParameter){
alert("MyObject1");
this.testNumber = formalParameter;
//1
this.toString= function(){
alert("MyObject1:"+this.testNumber);
&nbs ......
说明：
appendChild()
我测试的结果：
1 appendChild() 表格中所有行循环上移一行后， 用新的（行）替换了 表格的末行 ；相当于替换了表格的第一行，并循环上移一行
2 不改变 表格的总 行数
insertRow()
1 insertRow() 在表格中插入一行，表格总行书增一
2 insertRow(index) index=0 , 在表头增加， index=-1, 在� ......
今天AJAX必须用JS，做前端必须用JS，由于课程紧，只安排了一天时间，只讲了Dom。 DOM 可在J2SEAPI搜Document，便可以查看方法 DOM树:节点（node）的层次。 节点分为三种类型： 节点（node）：来源于网络理论，代表网络中的一个连接点。网络是由节点构成的集合 1.节点分为三种类型：
element node attribute node ......
FireFox : addEventListener()方法 IE : attachEvent()方法 为HTML元素添加一个事件监听, 而不是直接对元素的事件属性（如：onclick、onmouseover）赋值。 这两种方法处理事件还是有很大区别的！事件属性只能赋值一种方法，即： button1.onclick = function() { alert(1); };
button1.onclick = function() { aler ......
如果使用html控件还好一些，服务器控件就比较郁闷一些，因为GridView生成之后是多行的，所以这个文本框也会有很多个，另一方面asp.net会自动重新命名控件，所以想通过ID获取已经不可能了，很不幸的是连name属性都被自动生成了，哪怕你添加了name属性，也无法覆盖生成的name，而是会出来两个name属性
那么就想别的办法， ......
