xss反射攻击是攻击者通过特定手法，诱使用户去访问一个包含恶意代码的URL，当受害者点击这些专门设计的链接时，恶意代码会直接在受害者主机上的浏览器执行，例如以下代码：

response='<h1>Hello,%s!</h1>'%name;

如果恶意用户输入一段javascript代码作为查询参数name的值：

http://example.com/hello?name=<script>alert('Attack!');</script>

客户端接收的响应将变为以下代码：

<h1>Hello,<script>alert('Attack!');</script>!</h1>

这样原本的展示标题就有了弹窗，所以可以通过这种方式执行任意JavaScript代码。