首先输入各种字符

查看页面元素，可以看到这里对一些符号做了转换，但是 单引号等几个符号没处理；

从代码上看；使用单引号做闭合；

构造payload

a' onclick='alert(11)'

提交，得到xss攻击