在HTML中常用到的字符实体没有进行转译，会导致完整的标签出现，因此在可输入的文本框等某些区域内输入特定的某些标签会导致代码被恶意篡改从而出现xss攻击，XSS常见漏洞出现的地方有：

1.数据交互的地方：

-get post cookies headers
-反馈与浏览
-富文本编辑器
-各类标签插入和自定义

2.数据输出的地方：

-用户资料

-关键词、标签、说明

-文件上传