xss的fetch外带实例

XSS（跨站脚本攻击）是一种常见的网络安全漏洞，它利用网站对用户输入的不当处理，将恶意脚本注入到网页中，然后当其他用户浏览该页面时，恶意脚本会被执行，从而获取用户的敏感信息或控制用户浏览器。

fetch API 是一种现代 JavaScript 的网络请求API，但在 XSS 攻击场景下，如果被恶意利用，可能会导致服务器返回的数据中嵌入了 XSS 脚本。例如：

let url = 'http://example.com/user?name=<script>alert('Hello, XSS!');</script>'; // 预设存在XSS注入的参数

fetch(url)
  .then(response => response.text())
  .then(html => {
    document.body.innerHTML = html; // 将服务器响应内容插入页面
    // 这里会触发恶意脚本执行，因为innerHTML直接解析了HTML内容
  })
  .catch(error => console.error(error));

在这个例子中，当你访问包含恶意`<script>`标签的 URL 时，`fetch`结果会被赋值给`html`，并显示在网页上，导致`alert`弹出，暴露了用户的敏感信息或执行了攻击者意图的操作。