level-1 基本Payload 直接在地址栏后面添加<script>alert('w328')</script>即可。 level-2 闭合标签 随便输入内容，提交后查看源码，此时直接写<script>alert(''w328)</script>是不行的，需要将之前的语句闭合。 在文本框或者地址栏后面增加"><script>alert('w328')</script>，成功 ...