本文目录一览：
- 1、如何不让html把左右尖括号自动转义？
- 2、如何在jetty服务器层面解决XSS漏洞？
- 3、jsp中如何解决xss攻击问题
- 4、xml转义的问题，我现在在xml的里面要有尖括号，怎么办
- 5、android调用webservice传xml格式的字符串过去，服务端接收到的尖括号被转义了。要怎样传才不会被转义
- 6、如何对执行了特殊字符转义的网站进行XSS攻击
如何不让html把左右尖括号自动转义？
后台生成的时候做代替之类的处理，php提供了这种方法。浏览器行为是控制不了的。
另一个方法是jQuery
var content = "?php echo $content?";
$('#target').text(content);
jQuery的text方法会完成适当的转义
如何在jetty服务器层面解决XSS漏洞？
一，给cookie的属性设置为httponly
这样能够避免js读取Cookie信息（设置后有助于缓解XSS，但是XSS除了劫持Cookie之外，还可以模拟用户的身份进行操作）
二，进行输入检查
如果仅仅在客户端通过JS来做输入校验，有可能会被攻击者绕过，WEB开发中的普遍做法是同时在客户端和服务端做校验。这种输入检查的方式也称之为XSS Filter。
三，输出检查
一般说来，除了富文本输出之外，在变量输出到HTML页面时，可以使用编码或者转义的方式来防御XSS攻击。
四，防御DOM BasedXSS
前面提到的集中方法，对于这种类型不太适用，需要特别对待，那如何才能防御呢？
首先是$var输出到script是，应该执行一次javasriptEncode，其次在doument.write输出到HTML页面时，如果是输出到事件或者脚本，可以再做一次javaScriptEncode，如果是输出到HTML内容或者属性，则可以做一次HtmlEncode。
上面提到的这些防御方法都属于安全生产的环节，也就是说实在开发同学写代码的时候要特别注意，这种是否做的规范，可以通过工具扫描代码的方式来实现，也就是白盒测试，如果代码没有做输入或者输出检查，则发报告提示开发来进行修改。但是有些场景白盒没法覆盖到，例如输出jsonp类型的接口，对于callback参数的原味输出，白盒有时候就扫不出来，这时候，可以通过黑盒测试工具，模拟入参的各种情况，也就是穷举，来构造，如果发生了XSS请求，则发出报告即可。
jsp中如何解决xss攻击问题
那就写个过滤器，把有小于号大于号等等，与标签或者SQL有关的全部替换，然后再存进数据库。具体换成什么，自己决定吧。
xml转义的问题，我现在在xml的里面要有尖括号，怎么办
不支持的字符一般都是通过编码转换来的，替换成可识别的等价的字符，如ASCII码，Unicode等
用
用
其它的都要用相应的实体符替换：
" : "
:
' : '
android调用webservice传xml格式的字符串过去，服务端接收到的尖括号被转义了。要怎样传才不会被转义
加转义字符\，或者还有一个办法。比如回车键\n会被转移。你把\n replace一下，换成别的单词，在服务端收到这个单词的时候，在转换回来
如何对执行了特殊字符转义的网站进行XSS攻击
Html中特殊字符不被转义，可以使用预格式化标签。pre 是 Preformatted text（预格式化文本） 的缩写。使用此标签可以把代码中的空格和换行直接显示到页面上。例如HTML代码：
12345
pre if (xx 5) { print "比5大！\n"; } /pre
浏览器显示效果：if (xx 5) {print "比5大！\n";}textarea/textarea之间包含有类似的这种转义字符的时候总会被解析，倒是可以把所有的""通过程序替换成""，但是有些本来就是""的也会被转换，这就错了。如何让textarea/textarea之间包含的文本原封不动的显示出来呢？总结如下:解决方法有两种：第1种：
123456
bodytextarea id='t' rows=20 cols=20/textareascriptdocument.getElementById('t').innerText='a';/script/body