XSS有三类：反射型xss（也叫非持续型xss），存储型xss（也叫持续型xss）和DOM XSS。

反射型XSS：

 当服务端解析时<script>alert(1)</script>就会到响应体中，浏览器触发执行

存储型XSS：

同反射型XSS区别在于：提交的XSS代码会存储在服务端（不管是数据库，内存还是系统文件），下次页面就不用再次提交xss代码

其中最经典是留言板xss，用户提交一条包含xss代码的留言存储到数据库，目标用户每次查看留言板时，哪些留言的类容会从数据库查询出现显示，浏览器发现有xss代码就当做

正常的HTML与Js解析执行，于是就发生XSS攻击。

存储型xss的攻击也是最隐秘的。

DOM XSS：

DOM XSS的xss代码并不需要服务器解析响应的直接参与，触发xss靠的就是浏览器段的DOM解析，可以认为完全是客户端的事情