我找到了一个标记处理器，它允许用户包含任意链接，只要它们包含“ netloc ”（//在第一个之后:）。由于有 无数 可 利用的 协议 处理程序，这肯定是个坏主意。但它是否允许在没有易受攻击的协议处理程序的系统上使用 XSS？

我测试的所有浏览器（Chrome 22、FF 18、IE 9、Opera 12）在指向 时都没有显示任何内容javascript://alert('XSS')，但这肯定是因为我不够有创意。同样，javascript://alert('XSS')（这会使第一个双斜杠成为注释，而alert新行）也不起作用。