OWASP XSS 预防备忘单列出了不应放置不受信任数据的位置：

 <script>...NEVER PUT UNTRUSTED DATA HERE...</script>   directly in a script

 <!--...NEVER PUT UNTRUSTED DATA HERE...-->             inside an HTML comment

 <div ...NEVER PUT UNTRUSTED DATA HERE...=test />       in an attribute name

 <NEVER PUT UNTRUSTED DATA HERE... href="/test" />   in a tag name

 <style>...NEVER PUT UNTRUSTED DATA HERE...</style>   directly in CSS

我理解为什么不应该将数据放入其他 4 个位置，但是将用户输入放入 HTML 注释有什么危险？我认为编码>足以防止任何攻击。有没有办法在 HTML 注释中执行 JavaScript？还是另一种退出 HTML 注释的方法>？