标签名里能藏什么？JavaScript 或许可以

PortSwigger Research 测试了HTML标签名的字符转换及其在JavaScript、XSS和WAF绕过中的利用方式。研究发现，localName、part、classList等属性可与onfocus、autofocus和tabindex组合执行代码，文中称相关向量可在所有浏览器工作。