动手：跨站脚本实验

在靶场里复现一次脚本注入，再加上输出编码和内容安全策略验证修复。