hash 属性是一个可读可写的字符串，该字符串是 URL 的锚部分（从 # 号开始的部分）。当其作为可控参数传入eval()时则会存在DOM型XSS漏洞。
通过 location.hash 的方式，将参数写在 # 号后，既能让JS读取到该参数，
又不让该参数传入到服务器，从而避免了WAF的检测。
变量hash作为可控部分，并带入url中，变量hash控制的是#之后的部分，
可以使用伪协议#javascript:alert(1)。常见的几种伪协议有javascript:、
vbscript:、data:等。