Fish Wang says to YSITD 如果是說 你有 `evil.com`，然後你 iframe 了一個 `victim.com`， 並用了對方站台的某個漏洞在 victim.com 裡跑了你自己寫的 `evil.js`， 這種才算 xss 吧？