源代码：

可以看到是用htmlspecialchars 进行处理，但是他默认不对单引号进行处理的。

所有

输入： ‘ onclick=‘alert(111)‘       点击触发xss

输入：‘ onmouseover=‘alert(1)      触发xss