通常とは異なる記述の javascript: プロトコルが実行される

Security

FireFoxでは動作するパターンが見つからなかった。
Safari対応らしい。以下のパターンが該当。

<HTML>
<BODY> 
<A href="javas&#09;cript:alert('test')">test</A> 
</BODY> 
</HTML>

Webアプリを使うユーザ的には「ステータスバーを確認」、Webアプリ管理者的には、クリッカブルリンクを作成するWebアプリのテキストサニタイザに実体参照も考慮に入れるということで。