Pikachu 靶场 XSS 通关攻略：全关卡绕过思路与防御总结 在 Pikachu 靶场通关全部 XSS 关卡后整理的实战笔记：反射型 XSS（GET/POST）的 URL 拼接与前端长度限制绕过，存储型 XSS 的持久化危害，DOM 型 XSS 的引号闭合逃逸，盲打的带外验证与 HttpOnly 防御，再到黑名单过滤的大小写混淆、htmlspecialchars 的 javascript 伪协议绕过、JS 上下文的分号闭合 Payload。每个关卡均附可用 Payload 与失败尝试记录，并总结五项防御原则：拒绝黑名单、按输出上下文转义、URL 协议白名单、设置 HttpOnly、启用 CSP。仅供授权环境与靶场学习使用。