最近看到小伙伴写的 XSS 扫描器，最后验证是否存在 XSS 时是调用浏览器打开可疑的 URL 再人工查看是否有弹窗。感觉这样做不那么优雅，正好之前看到过一篇文章 XSS dynamic detection using PhantomJS，于是准备写个程序用 PhantomJS 来自动化......