在放入标记示例前先对文本进行 HTML 编码

在文档中显示 `<script>` 而不进行编码，演示就会变成 XSS 演示。转义 `< > & " '`（策略列在页面上）。

字符: 26

输入

输出

使用时机

用于博客片段、电子邮件 HTML 或教学实体，使标记不会执行。

输入

<div class="x">A & B</div>

输出

&lt;div class=&quot;x&quot;&gt;A &amp; B&lt;/div&gt;

输入

<b>

输出

&lt;b&gt;

按实体映射替换（&、<、>、引号等）。并非在所有上下文中都能完全抵御 XSS。

HTML 实体用于标记；JSON 转义用于 JSON 字符串；URL 编码用于查询/路径。

这足以阻止我应用中的 XSS 吗？

编码在 HTML 文本上下文中有效，但应用需要上下文的编码框架。

编码所有 Unicode？

数值实体可选；默认使用常见的 XML/HTML 集。

反向操作？

HTML 解码。

与 JSON 转义的区别？

不同的语言/目标。