表单回传时输入值含script标签是否执行？是否属XSS攻击？

1. 浏览器是否会执行该脚本？ #

不会执行。

2. 是否属于XSS攻击？ #

当前场景下不会触发XSS执行，但属于潜在的XSS风险场景。如果后续业务逻辑对这个输入值有其他处理（比如把value内容直接插入到页面的HTML内容区域，而非属性中），或者存在浏览器解析漏洞，就可能变成可利用的XSS攻击。

3. 测试脚本未执行的原因 #

浏览器解析HTML时，<input>元素的value属性内容会被当作纯文本属性值处理，不会被解析为HTML标签或执行脚本。你示例中的<script>alert('test');</script>只是作为字符串存在于value中，不会被浏览器识别为可执行的脚本块，自然不会触发弹窗。

示例代码（页面渲染的实际HTML结构）：

<form>    
    <input type="hidden" id="Id" name="Id" value="<script>alert('test');</script>">    
</form>

4. DAST扫描器标记为XSS问题的原因 #

DAST（动态应用安全测试）工具会检测到用户输入的恶意内容未经过适当的HTML编码就直接回显到页面的HTML属性上下文。虽然当前场景下脚本不会执行，但这种做法违反了安全编码规范：

• 若后续代码将该value值取出后，直接插入到页面的DOM内容中（比如通过innerHTML赋值），就会立刻触发XSS执行；
• 部分老旧浏览器或特殊解析场景下，可能存在属性值解析漏洞，导致脚本被执行；
• 工具会将所有“未对用户输入进行编码就回显到HTML上下文”的情况标记为潜在风险，提前规避可能的安全隐患。

补充说明：你提到的ASP.NET Core相关场景，原问题是后端将用户提交的内容直接绑定到表单字段的value属性，未做HTML编码，导致恶意内容出现在属性中。这种情况虽然当前无执行风险，但属于编码不规范，建议对用户输入进行HTML编码后再回显，避免后续风险。

内容的提问来源于stack exchange，提问作者LP13