注入点：结算页面中的地址字段

存储位置：用户提交的地址数据被存储在数据库中，并在后续页面（如订单详情、后台管理界面）中未经处理地渲染输出

xss payload (a"><svg/onload=prompt(1)> )

https://hackerone.com/reports/411690