var1=untrusteduserinput

<%=server.htmlencode(var1)%>

<a href="http://www.example.com/page.asp?var1=<%=server.urlencode(var1)%>"><%=server.htmlencode(var1)%></a>

<img src="http://www.example.com/images/<%=server.urlencode(var1)%>" alt="<%=server.htmlencode(var1)%>">

<iframe src="http://www.example.com/page.asp?var1=<%=server.urlencode(var1)%>"></iframe>

<meta name="description" content="<%=server.htmlencode(var1)%>">

<input type="text" name="var1" value="<%=server.htmlencode(var1)%>">

<a href="mailto:<%=server.urlencode(var1)%>">Email</a>

<a href=”<%=server.urlencode(var1)%>”><%=server.htmlencode(var1)%></a>

<a href=”http://www.mypage.com/page.asp?var1=<%=server.urlencode(var1)%>”>

<a href="http://www.mypage.com/page.asp?var1=<%= Server.HTMLEncode(Server.URLEncode(var1)) %>">

<img src=”http://www.mypage.com/images/<%=server.urlencode(var1)%>”