最近看了些xss的文章，对能引用img与a标签的富文本框产生了一些兴趣，再看了看社区关于xss的帖子，果然已经被挖过了，但是咱还是可以试试，谁让咱是测试呢。直接来到超链接处，试试常规payload：javascript:alert(1) “normal”)发现在预览的地方不显示超链接，可能被过滤了，没关系，意料之中。根据html解析器的特性，href=后面的内容会经过三次解码，即HTML解码 —&