Кавычка

В дополнение к статье.

<a href="javascript{entity}alert(1)">clickme</a>

Вместо двоеточия может быть:

:

:

: (ну и вариации двух последних)



В середине



<a href="ja{entity}vas{entity}cript:alert(1)">clickme</a>

	










Ну и %0a %0d %09 (знак табуляции) естественно, причем последний можно вовсе сократить до &#9



https://jsfiddle.net/423zcpL0/





Используя html entities подобмным образом можно скрыть ссылку на домен:

<a href="//&bsol;&sol;&commat;g&NoBreak;o&ZeroWidthSpace;o&zwnj;g&zwj;l&shy;e&NewLine;.&Tab;com">clickme</a>

https://jsfiddle.net/423zcpL0/1/



Ссылка ведет на google.com ¯\_(ツ)_/¯



Таблица с html entities для игр:

https://dev.w3.org/html5/html-author/charref