1. 目前框架默认开启了xss，具体配置如下  2. 若对接微信、支付宝等接口，返回了xml格式，会被xss拦截，若需要针对特定接口放行，只需要在skip-url上配置对应列表便可 3. 放行xss后，大家需要自行对特定接口增加相对应的注入操作判断