一个是header插入问题。另一个是\r\n问题。我们来看这样一段代码：1.test2.<script>3.//alert('<%=request.getParameter("username")%>');4.</script>大家都能看到，这好像有个漏洞，但是已经被补上了，注释掉了。那既然注释掉了，就不该有问题了么？不是的。再看这个URLhttp://localhost/index.jsp?username=kxlzx%0d%0a%0d%0aalert('kxlzx很无奈吧？生成了如下代码：test<script>//alert('kxlzxa...