alert(1) to win 3

function escape(s) {
  s = JSON.stringify(s);
  return '<script>console.log(' + s + ');</script>';
}

JSON.stringify()将 \ 和 " 都转义了，只能:
</script><script>alert(1)//