Sublime Text 无法防御 XSS，因其仅为文本编辑器，不执行 HTML 解析或自动转义；XSS 防御必须在服务端模板或前端框架中按输出上下文进行转义，如 HTML 内容需转义、&、"、'五个字符。
Sublime Text 本身不转换 HTML 实体字符，也不防 XSS —— 它只是文本编辑器，不做任何运行时解析或安全转义。 所有“转换”操作都是你主动触发的手动行为，不存在一键自动防注入的机制。
为什么不能靠 Sublime 防 XSS？
浏览器渲染时才解释 、<code>& 这类实体；Sublime 只当它们是普通字符串。你在编辑器里写 <script></script> 或 <script>，它不会校验、不会高亮风险、更不会自动替换。XSS 防御必须落在服务端模板（如 Django 的 {{ var|escape }}）或前端框架（如 React 的 JSX 自动转义）中，编辑器层面无权、也无法介入。
哪些场景真需要手动转义？
常见于以下几类输出未过滤的原始 HTML 字符串的场合：
- 用
document.write()或innerHTML插入用户输入内容 - 拼接 HTML 字符串后传给第三方库（如某些旧版图表组件）
- 生成静态 HTML 文件时，需确保变量值被安全包裹（比如用 Python 模板手动生成页面）
此时你才需要把 → <code><、" → " 等——但这个动作不是 Sublime 做的，是你自己决定何时、对哪段文本执行。
立即学习“前端免费学习笔记（深入）”；
Sublime 里怎么快速做实体编码？
没有“一键全文件转义”功能，但可用插件辅助局部处理：
-
HTML Entity Converter：选中一段文本（如<div>hello</div>），按快捷键（默认ctrl+alt+e），转成<div>hello</div> - 别装名字带“Entities”的插件却指望它监听输入自动补全——它只响应“已选中文本”的编码/解码命令
- 如果要批量处理多个文件，得配合正则替换：
Find What:(["&])，Replace With:<$1等，但注意顺序（先转&，再转其余，否则会套叠）
容易被忽略的关键点
真正危险的不是 这种显眼符号，而是 <code>javascript:alert(1) 这类在 href 或 onerror 中执行的代码。Sublime 不识别属性上下文，也不会警告你写了可疑的内联脚本。你得自己知道在哪种 HTML 属性里该过滤、哪种模板引擎已帮你做了、哪种场景必须用 textContent 替代 innerHTML。
