HTML转义仅针对5个有语法意义的字符：<、>、&、"、'；中文、emoji等纯文本字符无需转义；JS插入HTML时应优先用textContent兜底；模板引擎自动转义不覆盖|safe等显式标记；JSON嵌入HTML需额外处理</script>等闭合序列。
HTML 转义不是“需要”特殊字符，而是为了安全地显示那些**本该被浏览器解析为 HTML 的字符**（比如 <、>、&），才把它们替换成对应的转义序列。不转义，就可能破坏结构、执行意外标签，甚至触发 XSS。
哪些字符必须转义？
真正必须转义的只有 5 个基础字符，它们在 HTML 中有语法意义：
-
<→（否则会被当成开始标签） -
>→>（虽多数情况可省略，但出现在<script>或属性值中时建议转） -
&→&（不转义会导致后续转义序列被误解析，如©变成乱码） -
"→"（仅在双引号包围的属性值中必要，如title="He said "Hi""） -
'→'（同理，仅在单引号包围的属性值中必要；但 IE 不支持，更常用'或直接用双引号包属性）
中文、emoji、字母数字要不要转义？
纯文本内容里的中文、emoji、英文字母、数字、常见标点（如 ，。！？）**不需要也不应该**转义——它们没有 HTML 语义，转了反而增加体积、降低可读性，还可能因编码问题显示异常。
例如：张三 & 李四 是错的（& 必须转），但 张三和李四 写成 张三和李四 完全没必要，且易出错。
立即学习“前端免费学习笔记（深入）”；
唯一例外是：你明确要在 HTML 源码里用十进制/十六进制字符引用（如 😊）来显示某个 emoji，那属于主动使用，不是“转义需求”。
JS 里插入 HTML 时最容易漏掉什么？
用 innerHTML、document.write() 或模板字符串拼接 HTML 时，用户输入若含 <、&，不转义就会变成真实标签或解析错误。这时候不能只靠正则替换，推荐用浏览器原生方法兜底：
function escapeHtml(str) {
const div = document.createElement('div');
div.textContent = str;
return div.innerHTML;
}注意：textContent 会自动处理所有需转义字符，且不执行脚本、不加载资源，比手写正则更可靠。但别在循环高频调用它——创建 DOM 节点有开销；服务端渲染或大量数据请改用专用库（如 he）。
后端模板（如 Jinja2、EJS）为什么有时还要手动转义？
因为自动转义只覆盖变量插值位置（如 {{ user.name }}），而一旦你写了 {{ user.bio | safe }} 或 <%- rawHtml %>，就等于告诉模板引擎“这段我负责安全”，它就跳过转义。这时候如果 bio 来自用户输入，又没预处理，XSS 就来了。
所以关键不是“有没有转义功能”，而是确认每处动态插入是否处于信任边界内。哪怕用了 Django 的 {{ var }}（默认转义），只要后面跟了 |safe，就得重新评估。
最常被忽略的一点：JSON 数据嵌入 HTML 时（比如 <script>var data = <%= JSON.stringify(obj) %></script>），JSON.stringify 不处理 HTML 转义，只保证 JS 字符串合法。如果 obj.content 含 </script>，就会提前闭合 script 标签——这里得额外对 <、</、<!-- 等做 HTML 转义，或改用 data- 属性存数据。
