Chrome下出現：
 The XSS Auditor refused to execute a script in 'http://192.168.16.53/ads/index/viewPostion' because its source code was found within the request. The auditor was enabled as the server sent neither an 'X-XSS-Protection' nor 'Content-Security-Policy' header.情景：當你在一個頁面裡輸出了一段 html程式碼 而該html程式碼裡含有一個http的請求；
 例如：
我要把以下這段程式碼直接在viewPostion 頁面中輸出   
<!--ad100廣告位 營銷廣告路由--><iframe style="overflow:hidden;                width:320px;               height:100px;               position:fixed;               left:0px;               top:0px;               border:none;               margin:0px;               padding:0px;"</iframe>
就會出現上述的XXS跨指令碼攻擊 ；

不論你使用js先獲取到值，還是使用json在解析以後，在用document.wirte寫到頁面上，依舊會出現XXS的錯誤。

如何跳過XXS呢？

其實上邊的紅色字已經告訴你了，就是  X-XSS-Protection = 0

下面列出的為有用和安全相關的 http 響應頭

X-XSS-Protection xxs 用於構建到最新的瀏覽器中ie8以上chrome（不確定版本） 預設開啟

Strict-Transport-Security 安全的執行http通過ssl/ tls 連結到伺服器

X-Frame-Options ,Frame-Options    提供Clickjacking 保護

X-Content-Type-Options

Content-Security-Policy、X-Content-Security-Policy X-WebKit-CSP

Content-Security-Policy-Report-Only