在实现HTML特殊字符转义时，若未按正确顺序处理&、、"四个字符，会导致已转义的字符串被二次污染（如

在实现html特殊字符转义时，若未按正确顺序处理`&`、``、`"`四个字符，会导致已转义的字符串被二次污染（如`

HTML实体转义是Web开发中防止XSS攻击的基础操作。核心原则是：所有需转义的字符中，&必须最先处理。原因在于，其他HTML实体（如、<code>>、"）本身都以&开头——如果先转义得到<code>，后续再对<code>&执行replaceAll('&', '&')，就会把中的<code>&也替换掉，最终生成错误的<，浏览器将无法正确解析为。

✅ 正确顺序（推荐）：

function htmlspecialchars(formData) {
    return formData.replaceAll('&', '&')
                   .replaceAll('<', '<')
                   .replaceAll('>', '>')
                   .replaceAll('"', '"');
}

⚠️ 错误示例（危险！）：

DeepBI DHTML 页面生成器

生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力： - 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面； - 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”； - 提及位于 `apps/console/src/featur

下载

// ❌ 先转 < → <，再转 & → <（破坏原有实体）
formData.replaceAll('<', '<')
         .replaceAll('>', '>')
         .replaceAll('"', '"')
         .replaceAll('&', '&'); // 此步污染了前面生成的所有 &...

? 补充说明：

立即学习“前端免费学习笔记（深入）”；

• replaceAll() 在现代JavaScript中安全支持全局替换（无需正则g标志），但需确保运行环境兼容（ES2021+）。
• 若需兼容旧环境，可改用带正则的replace(/&/g, '&')等写法，逻辑不变。
• 严格来说，单引号'也应转义为'或'（后者在XML中更常见，HTML5中支持但非必需），可根据需求扩展。

总结：HTML实体转义不是简单的字符映射，而是一个有依赖关系的串行转换过程。始终将&置于首位，是保证输出合法、可解析HTML实体的黄金法则。