XSS有三类：反射型xss（也叫非持续型xss），存储型xss（也叫持续型xss）和DOM XSS。
反射型XSS：
当服务端解析时<script>alert(1)</script>就会到响应体中，浏览器触发执行
存储型XSS：
同反射型XSS区别在于：提交的XSS代码会存储在服务端（不管是数据库，内存还是系统文件），下次页面就不用再次提交xss代码
其中最经典是留言板xss，用户提交一条包含xss代码的留言存储到数据库，目标用户每次查看留言板时，哪些留言的类容会从数据库查询出现显示，浏览器发现有xss代码就当做
正常的HTML与Js解析执行，于是就发生XSS攻击。
存储型xss的攻击也是最隐秘的。
DOM XSS：
DOM XSS的xss代码并不需要服务器解析响应的直接参与，触发xss靠的就是浏览器段的DOM解析，可以认为完全是客户端的事情
原文：https://www.cnblogs.com/lcy001/p/10823730.html