HTML实体编码的本质是让浏览器把特殊字符（如、&）解析为纯文本而非HTML标签或可执行脚本，从而防止XSS攻击。例如，将alert(1)编码为<script>alert(1)</script>后，浏览器仅显示该字符串而不执行。
为什么不能直接用 innerHTML 插入用户输入
浏览器看到 innerHTML = '<script>alert(1)</script>' 会立刻执行脚本，哪怕它只是字符串值。这不是“显示代码”，而是触发 XSS。实体编码的本质是让浏览器把 、<code>& 这类字符当作文本渲染，而不是语法符号。
Python 后端用 html.escape() 最省心
Python 标准库 html.escape() 默认处理全部 5 个关键字符：&、、<code>>、"、'，且默认不转义单引号（quote=False），符合多数 HTML 属性场景。
- 若需在双引号属性中安全插入（如
title="<user>"</user>），保持默认即可 - 若需在单引号属性中使用（如
data-id=''abc''），显式传quote=True - 注意：它不会对 Unicode 字符做额外编码，UTF-8 页面里中文、emoji 可直接保留
示例：html.escape('User & <admin>', quote=True)</admin> → User & <admin></admin>
C# 中优先用 Server.HtmlEncode()，但注意作用域
Server.HtmlEncode() 是 ASP.NET Web Forms 的标准方法，但它依赖 HttpContext.Current。在非页面类（如工具类、Service 层）中直接调用会抛出 NullReferenceException。
立即学习“前端免费学习笔记（深入）”；
- 在 .aspx.cs 文件的事件处理中可直接用：
Result.Text = Server.HtmlEncode(input) - 在独立类中必须通过
HttpContext.Current.Server获取实例，否则报错 - 它不处理单引号（
'）——这是和 Pythonhtml.escape(quote=True)的关键差异
前端 JS 没有原生 escapeHTML，别信“document.createElement”万能解法
用 document.createElement('div').textContent = str; div.innerHTML 确实能转义，但它有隐藏陷阱：
- 无法控制是否转义单引号，且结果含多余空格或换行（取决于浏览器实现）
- 在无 DOM 环境（如 Node.js SSR、Web Worker）中根本跑不起来
- 性能差：每次调用都创建/销毁 DOM 节点，高频渲染时明显卡顿
真要纯 JS 实现，用正则最可控：str.replace(/&/g, '&').replace(/, '/g, '>').replace(/"/g, '"').replace(/'/g, ''')
最常被忽略的一点：编码不是一劳永逸。如果用户输入先被 JSON 序列化再塞进 data- 属性，或拼进 onclick="doSomething('<input>')"，光靠基础 HTML 编码不够——得配合属性上下文编码或改用事件委托。
