关注这种形式可能存在的XSS漏洞

var img = new Image();
img.src = "javascript:alert('xss');";

经测试在部分浏览器会执行里面的脚本，IE6和TT4.8版本。