前言

在测试一个学校网站的时候发现一个未授权访问内网系统，但是这个未授权并不是接口啥的，而是对前端 js 的审计和调试发现的漏洞，这里给大家分享一下这次的漏洞的过程

01、XSS的原理和分类

跨站脚本攻击XSS(Cross Site Scripting)，为了不和层叠样式表(Cascading Style Sheets，CSS)的缩写混淆

前言

codeql被誉为下一代的代码审计工具，对codeql进行了扫描测试及自定义规则的学习，在海量代码中查找有问题的代码，可以形象的类比为在一个村庄里面，发生了命案，codeql侦探需要根据一些信息在海量的人员信息中筛选出最有可能的犯人

作者： 京东科技 牛志伟

一、让人又爱又恨的Web Components

Web Components是一种用于构建可重用的Web元素的技术。它允许开发者创建自定义的HTML元素，这些元素可以在不同的Web应用程序中重复使用，并且具有自己的样式、行为和功能。

Web Components并非一项新技术，而是一组持续演进的、由W3C标准化的组件化API。最早可以追溯到2011年左右，大约在2016年左右各个浏览器才实现了Custom Element V1版本。然而，在同一时期，诸如Vue和React等组件化框架已经开始主导前端开发生态。

1.什么是jsoup

jsoup 是一款 Java 的 HTML 解析器，可直接解析某个 URL 地址、HTML 文本内容。它提供了一套非常省力的 API，可通过 DOM，CSS 以及类似于 jQuery 的操作方法来取出和操作数据，可操作 HTML 元素、属性、文本。

前言zheng项目不仅仅是一个开发架构，而是努力打造一套从 前端模板 - 基础框架 - 分布式架构 - 开源项目 - 持续集成 - 自动化部署 - 系统监测 - 无缝升级 的全方位J2EE企业级开发解决方案。项目介绍基于Spring+SpringMVC+Mybatis分布式敏捷开发系统架构，提供整套公共微服务服务模块：内容管理、支付中心、用户管理（包括第三方）、微信平台、存储系统、配置中心、日志分析、任务和通知等，支持服务治理、监控和追踪，努力为中小型企业打造全方位J2EE企业级开发解决方案。

jQuery EasyUI最新版下载>

本教程中涉及的示例演示了如何从服务器端加载数据，如何添加分页组件到数据网格中。

创建数据网格

想要从远程服务器端加载数据，首先你应该设置“URL”属性，服务器端会返回JSON格式的数据。查看数据文档可获得更多的数据格式信息。

数据网格经常需要合并多个单元格，本教程将教会您在数据网格中如何合并单元格。

合并数据网格的单元格，您只需要简单地调用'mergeCells'方法并传入合并信息参数，告诉数据网格如何合并单元格。在合并的单元格中，除了第一个单元格以外，其他的单元格在合并后会被隐藏。

创建数据网格

<table id="tt" title="Merge Cells" style="width:550px;height:250px"
url="data/datagrid_data.json"
singleSelect="true" iconCls="icon-save" rownumbers="true"
idField="itemid" pagination="true">
<thead frozen="true">
<tr>
<th field="productid" width="80" formatter="formatProduct">Product ID</th>
<th field="itemid" width="100">Item ID</th>
</tr>
</thead>
<thead>
<tr>
<th colspan="2">Price</th>
<th rowspan="2" field="attr1" width="150">Attribute</th>
<th rowspan="2" field="status" width="60" align="center">Stauts</th>
</tr>
<tr>
<th field="listprice" width="80" align="right">List Price</th>
<th field="unitcost" width="80" align="right">Unit Cost</th>
</tr>
</thead>
</table>