function unicodeToBase64(s){ return window.btoa(unescape(encodeURIComponent(s))) } 

``` 
unescape(encodeURIComponent("中国")) //结果："中国" 
encodeURIComponent("中国") //结果："%E4%B8%AD%E5%9B%BD" 
console.log("\u00E4\u00B8\u00AD\u00E5\u009B\u00BD") // 结果： "中国" 
``` 

abc 
// 未编码前：test 
``` 

')">cccc

cccc

输出的结果自然是，这的确论证了我们上文提到的这一点；第三个例子说明了HTML解析器在进行词法分析前，首先进行解码，十六进制和十进制皆可，因此，结果自然输出形如的 字符串；第四个例子则紧接着论证了内联在HTML的并采用十六进制编码的js代码同样会被正确解析并执行，这说明了进制编码同样可被HTML解析器解析； 第五、七个例子说明在js中同样可以使用实体编码和进制编码，解析的结果会渲染在页面上；第六个例子则论证了上一观点，只针对事件处理函数做进制编码，执 行后页面弹出alert；第八个例子则是在js中执行unicode编码的字符串，正常alert。

由此可见，js代码内联在HTML的非script标签内，则会遵守HTML编码规范：进制编码和实体编码；而在js代码（script标签内以及js文件内）中，则遵从js编码：1,unicode形式编码(\uxxxx)2,普通的16进制编码(\xH)，这可通过第八个例子得到证明。之所以在本节提到这么多编码特点，主要提醒大家在预防XSS时需要注意的几点：

• 检测用户输入时，不仅仅需要防范类似“<>”这样的字符，通过unicode编码或进制编码仍有可能注入代码

• 需要针对特定的关键字做过滤，如“eval、write、prototype”

• 尽可能禁止内联事件处理函数的使用

• js过滤“src/href/action”属性，如“javascript:”,”data:”

JS编码

其实在上节中已提到了js编码，即js可执行unicode编码和十六（八）进制编码后的字符串，但是不支持十进制编码的字串。具体操作可通过常用 的几个函数来实现，如“eval，write，setTimeout，Function”执行编码后的字符串；同样，对于十进制编码的字串，通过结合 String.fromCharCode和eval同样可以执行。

在此附上笔者实现的字符转换，更为灵活的实现各种自定义形式的字串编码：

var Code = {}; 
/** 
* 
* @param str 待编码字串 
* @param jinzhi 进制编码 
* @param prefix 前缀 
* @param postfix 后缀 
* @param count 总共编码的位数，默认为4 
* @returns {string} 
*/ 
Code.encode = function({str = '',jinzhi = '16',prefix = '\\u',postfix = ';',count = '4'} = {}){ 
    var ret = ''; 
    var addZero,tmp; 
    for(let i=0;i
tmp = str.charCodeAt(i).toString(jinzhi); 
addZero = count - tmp.length + 1; 
ret += prefix + new Array(addZero).join('0') + tmp + postfix; 
    } 
    return ret; 
}; 
Code.decode = function({str = '',jinzhi = '16',prefix = '\\u',postfix = ';'} = {}){ 
    var ret = ''; 
    var splits = str.split(';'); 
    for(let i=0;i
let tmp = splits[i].replace(prefix,''); 
ret += String.fromCharCode(parseInt(tmp,jinzhi)); 
    } 
    return ret; 
}; 
 
console.log(Code.encode({str: ''})); 
console.log(Code.decode({str: Code.encode({str: ''})})) 

另外，对于js输出点的过滤其实并不仅限于上文提到的如eval、setTimeout、Function等几个，由于JS语法比较灵活相对“漏洞”较多，可使用的“线索”也越丰富，如前段时间在Stackoverflow上发现的一个问题，即

(0)['constructor']['constructor']('return "abc;"')() 

同样可以执行JS代码，确实挺有特点的，具体为什么上述形式可以执行代码，请读者自己仔细品味。