搜索功能没做XSS过滤，用户搜的关键词直接插恶意脚本，偷cookie

之前做搜索功能，直接把用户搜的关键词原样显示在页面上，没做任何过滤，结果有人搜了一段带script的恶意脚本，页面直接把脚本执行了，偷用户的cookie发广告，我赶紧把所有用户输入的内容全做了XSS过滤，脚本就执行不了了。 很多新手做网站，直接把用户输入的内容原样显示在页面上，没做XSS过滤，结果用户输入恶意脚本，直接在页面执行，偷其他用户的cookie。真的，所有用户能输入、显示在页面上的内容，一定要做XSS过滤，别原样输出，不然被人插恶意脚本，用户数据全丢。