В том то и дело) как тестилось-то? на локалхосте? зачем тогда xss? просто, чтобы признать ее существование?