评论区没做XSS过滤，用户在评论里写了个脚本，所有访客都被弹广告

之前做博客评论区，我直接把用户评论的内容显示在页面上，根本没做过滤，结果有天一个用户在评论里写了段JS脚本，打开评论区的所有访客，浏览器都自动弹出赌博广告窗口，用户根本关不掉，当天网站跳出率直接冲到90%，好多用户说网站带病毒，再也不来了。我赶紧把评论里的恶意脚本删了，给所有用户输入的内容做了HTML转义过滤，不管用户写什么脚本，全当成普通文字显示，再也不出现脚本执行的事。 很多新手做用户能发内容的地方，觉得直接显示内容就行，根本不做XSS过滤，结果用户在内容里写恶意脚本，所有访问者打开页面，脚本就自动执行，弹广告、偷cookie，网站直接被搞坏。真的，只要是用户能输入的内容，显示之前一定要做转义过滤，不然XSS漏洞来了，整个网站都跟着遭殃。