XSS dentro de la etiqueta de anclaje (a) sin interacción del usuario?

Puede forzar la interacción del usuario con CSS, haciendo que el elemento a sea un elemento de bloque de posición fija con un gran tamaño e índice z.

<a style="display: block; position: fixed; top: 0; left: 0; z-index: 99999; width: 9999px; height: 9999px;" onmouseover="alert('xss')">

Sí, eso es posible.

  

El truco onfocus y autofocus no funciona en la etiqueta (corríjame si me equivoco).

Correcto, el atributo autofocus no existe para las etiquetas <a> . Pero en su lugar, puede aprovechar los nombres de ancla para lograr el efecto de enfoque automático.

Por ejemplo, cree un documento con este enlace:

<a href="#" onfocus="alert('Gimme bounty!')" name="foo">Click me</a>

Ahora abre el documento como https://example.com/anchor.html#foo . El ancla #foo hará que el navegador enfoque automáticamente el elemento de enlace con el nombre foo y active la carga útil de JS.

(Esto me funciona en Google Chrome, pero no en Firefox).