HTML 转义

用途与边界

把用户输入插入 HTML（尤其是拼 innerHTML）前必须转义，否则会造成 XSS。反转义用于阅读日志或源码里的实体文本。

重要：对不可信内容反转义后再渲染，等于主动制造 XSS —— 转义只保证"这段文本被当作文本显示"，它不能替代正确的输出位置（属性、URL、JS 字符串各有各的编码方式）。