Typecho安全小知识

1、开启评论来源页检查，这样如果来源不是当前网站，则会无法评论，防止利用post请求去刷评论
2、评论设置里允许使用的HTML标签和属性 选项里务必不能填写 a 标签和 script标签，经测试，填写这2项标签后，可以直接评论xss执行js脚本

例如 a 标签的：

<a href="javascript:void(function() {$('body').remove()})()">点击删除整个网页</a>

例如 script 标签的

<script>
    window.location.href = 'https://xxx.com'
</script>