站群防XSS攻击，说的是别让有人在你的页面里塞进一段会被访客浏览器执行的脚本。站群往往一个后台管着许多单页网站，页面上的留言、搜索框、表单都是外部输入进来的地方，一旦某处把输入原样显示出来，脚本就可能在其他访客的浏览器里跑起来，轻则弹窗跳转，重则借用访客身份做操作。所以防XSS不是加个插件就完事，而是要让每一处外部输入在进入页面之前先被处理干净。
先弄清楚XSS到底发生在哪一步
XSS的路径通常是：有人把带脚本的内容提交到站群的某个输入位置，系统把它存下来或直接回显到页面上，别的访客打开页面时浏览器把它当成代码执行。由此可以看出两个关键环节：一是输入有没有被检查，二是输出有没有被转义。很多站群页面由模板批量生成，同一套模板被大量站点复用，一处缺口就可能被放大到许多页面，这也是站群场景要格外留意的地方。
判断防护做得怎样，看这几个点
外行不需要懂代码，但可以看几件具体的事。
- 输入是否被当成普通文字处理：凡是可以填写内容的地方，提交后是否只作为文字显示，而不是被浏览器解析。
- 输出是否统一转义：页面在把内容展示出来之前，有没有做统一的处理，而不是靠某一处临时补救。
- 富文本是否单独把关：允许带格式的编辑区域风险更高，需要有额外的过滤规则。我爱模板。
- 后台与前台是否分开防护：管理后台同样是输入入口，不能只盯前台页面。
- 是否有定期检查的机制：防护不是一次配置就结束，需要有人持续看。
挑选服务时怎么问才有效
不要只问“防不防XSS”，这个问题几乎所有人都会答防。更有效的问法是：页面上的表单和搜索框，提交的内容会怎么处理；模板批量生成时，转义规则是统一配置还是逐页处理；发现疑似攻击后，有没有记录和排查的办法。还可以请对方演示一次：在可填写的地方输入一段带符号的文字，看页面显示出来的是文字还是被执行。看得见的处理过程，比口头承诺更有参考价值。
几个容易出现的误会
常见的误会之一是觉得单页网站内容少，不会有人来攻击。实际上自动化的扫描并不挑站点大小，能被访问到就可能被尝试。第二个误会是把防XSS和防SQL注入当成同一件事，两者针对的入口和处理方式并不相同，需要分别对待。第三个误会是以为装上某个工具就一劳永逸，规则会过时，页面会更新，防护需要跟着维护。第四个误会是只防前台忘了后台，而管理入口恰恰是更值得关注的位置。
长尾通（原AI单页站群系统）成立于2009年，做的是AI一键生成标准化、高颜值企业单页网站这件事。对使用站群的企业来说，把防XSS当成建站时就要问清楚的一项基本要求，比事后补救省心得多。看明白上面这几点，再和服务方沟通时，你至少知道该问什么、该看什么。AI单页集群站。