假设我有一个网站，上面有以下代码：

<input type="text" id="search-text" name="query" value="?" />

双引号不会被转义，因此我可以突破 value 属性，但是，我不能将 HTML 标记本身拆分为 '<'>并被过滤掉。

我的目标是让 javascript 弹出窗口出现。

• 有这个onfocus属性，所以我猜如果有人点击文本输入框，可能会出现一个 javascript 弹出窗口。
• 但是，有没有办法在页面首次加载时出现 javascript 弹出窗口？