window.location.href xss

window.location.href 是一个 JavaScript 对象，代表当前窗口中显示的文档的 URL。由于在 Web 应用中，URL 经常被用于传递参数，因此攻击者可以通过构造特殊的 URL 来进行跨站脚本攻击（XSS）。

攻击者可以通过修改 window.location.href 中的参数，插入恶意脚本，从而获取用户的敏感信息或者进行其他的恶意行为。

例如，攻击者可以构造一个带有恶意代码的 URL，并将该 URL 发送给用户：

http://www.example.com/?param=<script>恶意代码</script>

当用户点击该链接并打开页面时，恶意代码将在用户浏览器中执行，导致攻击者获取到用户的敏感信息或者其他操作。

为了防止跨站脚本攻击，开发者可以采取以下措施：
- 对输入内容进行过滤和验证
- 对输出内容进行编码转义
- 禁止不必要的 JavaScript 协议
- 使用 Content-Security-Policy (CSP) 等安全机制