HTML转义本质是替换字符实体，即将、&、"、'等有特殊含义的字符替换成对应命名或数字字符实体，如<被浏览器渲染为
HTML转义本质是替换字符实体，不是“加特殊字符”
HTML转义不是给原始文本额外添加什么特殊符号，而是把有特殊含义的字符（比如 、<code>>、&、"、'）替换成对应的命名或数字字符实体。浏览器看到 < 就渲染成 ，而不是把它当字面量显示——关键在「语义隔离」：让这些字符不被解析为HTML结构的一部分。
常见误解是以为转义要手动拼 或加反斜杠，其实现代方法基本靠函数/库自动处理，手动拼错风险极高。
哪些字符必须转义？优先级和场景差异明显
并非所有“看起来奇怪”的字符都要转，真正影响HTML解析的只有5个基础字符，其余取决于上下文：
和 <code>>：必须转，否则会被当成标签起始/结束，直接破坏DOM结构-
&：必须转，否则可能被误认为字符实体开头（如 -
"：仅在属性值用双引号包裹时才需转（如title="He said "Hi""），单引号属性里可不转 -
'：同理，只在单引号属性中必要，且IE8-不支持，实际多用' - 中文、emoji、©、® 等：本身无HTML语法意义，无需转义；但若出现在URL或JS字符串中，需按对应规则编码（不是HTML转义）
不同语言里常用转义函数行为不一致
各语言标准库对“转义范围”默认策略不同，不能假设行为统一：
htmlppt.skill
下载
把任意文章或文档内容转换成精美的全屏翻页 HTML 演示文件（幻灯片风格）。当用户发来一篇文章、文档链接、Markdown 内容、或粘贴的文本，并且希望生成演示用的 HTML 时触发。支持任意内容来源：iWiki 链接、KM 链接、本地文件路径、直接粘贴的文本。生成的 HTML 文件保存到本地工作区，并通过企微直接发送给用户。触发词示例：帮我把这篇文章做成PPT、转成演示文档、生成HTML幻灯片、做个演示、转成可以演示的格式、article to deck、make a slide。
立即学习“前端免费学习笔记（深入）”；
- JavaScript：
textContent自动规避解析，最安全；innerHTML赋值前必须手动转义，可用DOMPurify.sanitize()或正则.replace(/&/g, '&').replace(/, ' - Python：
html.escape()默认只转&、、<code>>、"、'；传quote=False会跳过引号，适合非属性场景 - PHP：
htmlspecialchars()默认只转前4个，ENT_QUOTES标志才包含单引号；htmlentities()会转更多字符（如中文），通常没必要 - Node.js（server）：
res.send()不自动转义，模板引擎如 EJS 的是非转义，才转义——容易搞反
容易被忽略的坑：属性值里的转义嵌套和JSON混用
当HTML属性值来自动态数据（尤其是JSON序列化结果），极易出问题：
- 不要把未转义的JSON字符串直接塞进
data-xxx属性：<div data-json='{"name":"O' reilly> 中的单引号会提前闭合属性，导致解析失败<li>正确做法：先用语言内置JSON序列化（它会自动处理引号转义），再对整个字符串做HTML转义；或统一用双引号属性 + <code>json_encode(..., JSON_HEX_QUOT)（PHP） - 更稳妥方案：避免在HTML属性里塞复杂结构，改用
<script type="application/json"></script>块存放数据，由JS读取解析
转义不是一劳永逸的操作，它依赖上下文。同一段文本，在 innerHTML、textarea.value、data-* 属性、<script></script> 内部，需要的处理方式都不同。漏掉一个上下文，就可能引入XSS或DOM断裂。
