必须转义<、>、&、"、'五个字符才能防御基础XSS；innerHTML直接执行HTML极危险，应优先用textContent；富文本须经DOMPurify过滤；服务端转义需按上下文配置，如PHP需ENT_QUOTES。
HTML实体转义不是“最后一道防线”，而是第一道、也是最脆弱的一道——用错上下文或漏掉字符，它就直接失效。
哪些字符必须转义才能拦住基础XSS
只转义 <、>、&、"、' 这五个字符，才能覆盖绝大多数 HTML 文本内容和属性值场景。少一个都可能被绕过：
- 漏
&：攻击者写<script>>，浏览器会先解析实体还原出 <code><script> - 漏
'：在title='{{ userInput }}'中输入' onclick=alert(1)，最终生成title='' onclick=alert(1)'，事件绑定成功 - 漏
"：同理，在双引号属性中闭合失败，导致后续内容被当作 HTML 解析
innerHTML 赋值前不转义 = 主动执行 XSS
前端写 element.innerHTML = userInput 是最危险的入口之一。哪怕用户只输入 <img src=x onerror=alert(1)>，浏览器也会立刻执行 JS。
- 纯文本展示一律用
element.textContent = userInput，零风险，不解析任何 HTML - 真要渲染富文本（如评论带链接），必须先过
DOMPurify.sanitize(dirtyHtml)，再赋给innerHTML - 绝对不要自己写正则删
<script>或过滤onerror——绕过方式太多，比如<scr<script>ipt>、<img alt="x" onerror=alert(1)>
服务端转义函数默认行为常留缺口
PHP 的 htmlspecialchars() 默认不转义单引号；Java 的 StringEscapeUtils.escapeHtml4() 不处理 Unicode 变体；Python 的 html.escape() 默认也不编码单引号——这些默认行为都会在属性上下文中留下缺口。
立即学习“前端免费学习笔记（深入）”；
- PHP：必须显式传
ENT_QUOTES和'UTF-8'：htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - Java（JSTL）：用
<c:out value="${userInput}" escapeXml="true"/>，别依赖 EL 表达式默认行为 - Node.js：推荐用
he.escape(input)，它默认转义全部五字符，且支持严格模式防畸形 Unicode
真正容易被忽略的是：同一个用户输入，可能出现在 HTML 内容、双引号属性、单引号属性、URL 属性、甚至内联 JS 字符串里——每个上下文需要的编码方式完全不同。只做一遍 HTML 实体转义，解决不了问题。
