結果 : avoid javascript injection