为何alert()常被用于发现与演示XSS漏洞？技术原因解析

• 直观的即时反馈：alert()弹出的弹窗是肉眼可见的明确信号，不管是测试者还是观看演示的人，都能立刻确认「攻击者的JS代码成功在目标页面执行了」。甚至可以自定义弹窗内容，比如alert('XSS漏洞存在')，直接点明问题，不会和网站本身的弹窗混淆。

• 兼容性拉满，语法极简：alert是浏览器原生的JS API，从旧版IE到最新的Chrome全兼容，不需要依赖任何外部资源。而且它的payload极短，比如基础的<script>alert(1)</script>，或者适配不同注入场景的变形（比如属性注入里的"onclick=alert(1)"），不容易触发WAF的拦截规则，能在各种复杂的注入上下文里快速验证漏洞。

• 完全无风险的测试工具：alert只会弹出提示框，不会执行任何窃取数据、跳转钓鱼站、篡改页面这类恶意操作。不管是自己测试网站，还是给客户做漏洞演示，都不用担心测试过程中对系统或用户造成实际危害，安全可控。

• 精准验证执行环境：通过alert可以确认JS代码的执行上下文——比如用alert(document.domain)能验证代码是在目标域名下运行的，而不是被跨域隔离的。这一点很重要，因为只有在目标域执行的JS，才能获取到该域的Cookie、LocalStorage等敏感数据，真正具备攻击价值。

另外需要纠正一个误解：XSS的核心是攻击者能在受害者浏览器中执行任意JS代码，双向通信只是后续恶意利用的一种方式（比如把窃取的Cookie发回攻击者服务器）。而alert的作用，就是验证「能否执行JS」这个最核心的前提——只要alert能触发，就意味着攻击者可以把这段代码替换成任何恶意payload，比如窃取会话、劫持账户等。

内容的提问来源于stack exchange，提问作者Oliver Šmakal