HTML实体编码的本质是让浏览器把特殊字符（如、&）解析为纯文本而非HTML标签或可执行脚本，从而防止XSS攻击。例如，将alert(1)编码为alert(1)后，浏览器仅显示该字符串而不执行。
为什么不能直接用 innerHTML 插入用户输入
浏览器看到 innerHTML = '<script>alert(1)</script>' 会立刻执行脚本，哪怕它只是字符串值。这不是“显示代码”，而是触发 XSS。实体编码的本质是让浏览器把 、& 这类字符当作文本渲染，而不是语法符号。
Python 后端用 html.escape() 最省心
Python 标准库 html.escape() 默认处理全部 5 个关键字符：&、、>、"、'，且默认不转义单引号（quote=False），符合多数 HTML 属性场景。
- 若需在双引号属性中安全插入（如
title="），保持默认即可" - 若需在单引号属性中使用（如
data-id=''abc''），显式传quote=True - 注意：它不会对 Unicode 字符做额外编码，UTF-8 页面里中文、emoji 可直接保留
示例：html.escape('User & → User &
C# 中优先用 Server.HtmlEncode()，但注意作用域
Server.HtmlEncode() 是 ASP.NET Web Forms 的标准方法，但它依赖 HttpContext.Current。在非页面类（如工具类、Service 层）中直接调用会抛出 NullReferenceException。
把任意文章或文档内容转换成精美的全屏翻页 HTML 演示文件（幻灯片风格）。当用户发来一篇文章、文档链接、Markdown 内容、或粘贴的文本，并且希望生成演示用的 HTML 时触发。支持任意内容来源：iWiki 链接、KM 链接、本地文件路径、直接粘贴的文本。生成的 HTML 文件保存到本地工作区，并通过企微直接发送给用户。触发词示例：帮我把这篇文章做成PPT、转成演示文档、生成HTML幻灯片、做个演示、转成可以演示的格式、article to deck、make a slide。
- 在 .aspx.cs 文件的事件处理中可直接用：
Result.Text = Server.HtmlEncode(input) - 在独立类中必须通过
HttpContext.Current.Server获取实例，否则报错 - 它不处理单引号（
'）——这是和 Pythonhtml.escape(quote=True)的关键差异
前端 JS 没有原生 escapeHTML，别信“document.createElement”万能解法
用 document.createElement('div').textContent = str; div.innerHTML 确实能转义，但它有隐藏陷阱：
- 无法控制是否转义单引号，且结果含多余空格或换行（取决于浏览器实现）
- 在无 DOM 环境（如 Node.js SSR、Web Worker）中根本跑不起来
- 性能差：每次调用都创建/销毁 DOM 节点，高频渲染时明显卡顿
真要纯 JS 实现，用正则最可控：str.replace(/&/g, '&').replace(/, '/g, '>').replace(/"/g, '"').replace(/'/g, ''')
最常被忽略的一点：编码不是一劳永逸。如果用户输入先被 JSON 序列化再塞进 data- 属性，或拼进 onclick="doSomething('')"，光靠基础 HTML 编码不够——得配合属性上下文编码或改用事件委托。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
