在网页中的Textbox或者其他能输入数据的地方，输入这些测试脚本， 看能不能弹出对话框，能弹出的话说明存在XSS漏洞
　　在URL中查看有那些变量通过URL把值传给Web服务器， 把这些变量的值退换成我们的测试的脚本。  然后看我们的脚本是否能执行
　　方法三:  自动化测试XSS漏洞
　　现在已经有很多XSS扫描工具了。 实现XSS自动化测试非常简单，只需要用HttpWebRequest类。 把包含xss 测试脚本。发送给Web服务器。 然后查看HttpWebResponse中，我们的XSS测试脚本是否已经注入进去了。
　　HTML Encode 和URL Encode的区别
　　刚开始我老是把这两个东西搞混淆， 其实这是两个不同的东西。
　　HTML编码前面已经介绍过了，关于URL 编码是为了符合url的规范。因为在标准的url规范中中文和很多的字符是不允许出现在url中的。
　　例如在baidu中搜索"测试汉字"。 URL会变成
　　http://www.baidu.com/s?wd=%B2%E2%CA%D4%BA%BA%D7%D6&rsv_bp=0&rsv_spt=3&inputT=7477
　　所谓URL编码是：　把所有非字母数字字符都将被替换成百分号（%）后跟两位十六进制数，空格则编码为加号（+）
　　在C#中已经提供了现成的方法，只要调用HttpUtility.UrlEncode("string <scritp>") 可以了。  （需要引用System.Web程序集）
　　Fiddler中也提供了很方便的工具， 点击Toolbar上的"TextWizard" 按钮
　　浏览器中的XSS过滤器
　　为了防止发生XSS， 很多浏览器厂商都在浏览器中加入安全机制来过滤XSS。 例如IE8，IE9，Firefox， Chrome. 都有针对XSS的安全机制。 浏览器会阻止XSS。 例如下图

　　如果需要做测试， 好使用IE7。
　　ASP.NET中的XSS安全机制
　　ASP.NET中有防范XSS的机制，对提交的表单会自动检查是否存在XSS，当用户试图输入XSS代码的时候，ASP.NET会抛出一个错误如下图

　　很多程序员对安全没有概念， 甚至不知道有XSS的存在。 ASP.NET在这一点上做到默认安全。 这样的话算是没有安全意识的程序员也能写出一个”较安全的网站“。
　　如果想禁止这个安全特性， 可以通过 <%@  Page  validateRequest=“false"  %>