HTML中可能使用为协议造成XSS 的属性

新思路：

1、服务端可以过滤敏感标签<script>

2、使用html 属性 为协议javascript:[code]

3、若服务端过滤关键字，可以通过空格回车Tab 等加载在关键字中间通过过滤，因为js语句结束是分号，所以浏览器加载引擎会继续发现这些分隔号后面的内容。

4、HTML属性值本身支持ASCII编码，也可以通过编码绕过过滤（其他编码格式base64）

5、还可以通过标签事件来触发XSS,如：<img src="#" onerror=alert(/xss/)>

找不到src时就会触发这个事件。