例子如下：
<!DOCTYPE html> <html lang="en"> <head> <meta charset="UTF-8"> <meta content="width=device-width, initial-scale=1.0"> <meta http-equiv="X-UA-Compatible" content="ie=edge"> <title>XSS</title> </head> <body> <div></div> <input type="text" value=""> <input type="button" value="search"> </body> <script> function test() { const str = document.querySelector('#text').value document.querySelector('#t').innerHTML = '<a href="' + str + '" >查找结果</a>' } </script> </html>该页面的作用是，在输入框内输入一个内容，跳出查找结果能直接跳转，效果如下：
点击查找结果后，页面会自动跳到百度（毒）页面，但是细心的我们会发现，这字符串拼接有可乘之机啊，输入" onclick=alert(/XSS/) //：
果然，页面执行了我们输入的东西，上面的内容是，第一个双引号闭合掉href的第一个双引号，然后插入onclick事件，最后注释符 //注释掉第二个双引号，点击跳转链接，脚本就被执行了。