ajax 不会执行返回数据中的js代码

进行脆弱性测试时遇到一个问题，提交的恶意数据虽然没有被过滤，但是不会出现弹窗。提交的数据为<script>alert(123)</script>.

从web上看，显示数据的那一部分为空，可见自己提交的数据已经被作为标签解释了，不然会直接把代码显示出来。

研究了好长时间，最后怀疑是ajax本身就不会去执行这部分代码。换成img onerror之后就可以成功弹窗了。

在网上搜到了一些解释，不过不知道是否就是这个原因：

http://dushii.blog.163.com/blog/static/173051932009060727978/