设置X-XSS-Protection: 0标头是正确的解决方案，但您必须在响应中添加此标头，而不是在您的请求中。脚步：

• 确保您有一个不受HTTP-only 标志保护的实际 cookie。（例如，您可以编辑 JSessionID cookie）
• 使用正确的 JS 命令来检索 cookie（首先在控制台中测试它），例如：var a=document.cookie;alert(a)（注意：如果您有多个 cookie，则必须拆分它们，我假设您只有 JSESSIONID cookie）
• 将命令存储在 street 字段中，带有脚本标签：var a=document.cookie;alert(a)（Stackoverflow 隐藏了脚本标签，请确保添加它们）
• 在保存之前启动 Fiddler。我们将拦截响应并在响应中添加 X-XSS-Protection:0 标头（如果您有开发者版本，您可能会在源代码中添加它）
• 拦截响应，编辑响应标头，添加 X-XSS-Protection:0 标头，点击 CTRL+S 以确保，然后点击“运行完成”。
• 等等瞧

更新：澄清截图。

• 提琴手

*:

• 网山羊结果

没错，现在大多数主流浏览器都内置了 XSS 保护。关于可能的解决方法：

您可以通过使用“disable-xss-auditor”开关启动浏览器来禁用 Chrome 中的此功能。（即C:\<PATH>\chrome.exe --args --disable-xss-auditor）

另一种选择是在托管网络服务器中设置一个标头以禁用此类保护（下面的 Apache 示例）：

标头集 X-XSS-Protection: 0

最后，您可以使用 Web 应用程序笔测试浏览器，例如 OWASP Mantra。

https://www.owasp.org/index.php/OWASP_Mantra__-_Security_Framework

您能否提及用于打印 cookie 内容的 XSS 有效负载？
此外，一般来说，除了 X-XSS 标头之外，如果 Web 应用程序的 cookie 标志设置为仅 HTTP，则 cookie 的内容不可用于客户端脚本，例如 JavaScript 片段或您的 XSS有效负载，从而打印一个空的警报消息，就像您在上面发布的屏幕截图一样。