虽然过滤了 <script> 但只过滤不够严格 只要在开头不使用<script> 就可以执行下边是漏洞地址以及测试代码 <marquee><script>alert('XSS')</script></marquee>
