必须转义、&、"、'这五个字符才能拦住基础xss；少一个都可能被绕过，如漏&则#x3c;可还原为
HTML 字符实体转义本身不能“防御”XSS，它只是在特定上下文中阻止浏览器错误解析用户输入——前提是用对了地方、转对了字符、没漏掉上下文。
哪些字符必须转义才能拦住基础 XSS
只转义 、<code>>、&、"、' 这五个字符，才能覆盖绝大多数 HTML 文本内容场景下的脚本注入。少一个都可能被绕过：比如漏掉 &，攻击者写 <script></script> 就能还原出 <script></script>；漏掉单引号，title='onmouseover=alert(1)' 就直接触发。
→ <code><（防标签起始）-
>→>（防标签闭合） -
&→&（防实体解析干扰） -
"→"（双引号属性值中防闭合） -
'→'或'（单引号属性值中防闭合）
innerHTML 赋值前不转义等于主动执行 XSS
前端写 element.innerHTML = userInput 是最常见也最危险的 XSS 入口。哪怕用户只输入 <img src="x" onerror="alert(1)">，浏览器也会立刻执行。
- 纯文本展示一律用
element.textContent = userInput，零风险，不解析任何 HTML - 真要渲染富文本（如评论带链接），必须先过
DOMPurify.sanitize(dirtyHtml)，再赋给innerHTML - 绝对不要自己写正则替换
<script></script>或删onerror——绕过方式太多，比如<scr>ipt></scr>、<img alt="x" onerror="alert(1)">
属性值里插用户数据，光转义 <code>> 完全不够
把用户输入塞进 title="{{ userInput }}" 或 data-id="{{ userInput }}" 时，攻击者只要输入 " onclick="alert(1)，最终生成的就是 title="" onclick="alert(1)"，事件直接绑定成功。
- 双引号包裹的属性（
title="xxx"）必须转义"→" - 单引号包裹的属性（
title='xxx'）必须转义'→' - URL 类属性（
href、src）得先用encodeURIComponent()编码，再拼入带引号的属性值，不能只做 HTML 实体转义 - 禁止写
<button onclick="doSomething('{{ userInput }}')"></button>——JS 执行上下文，和 HTML 转义完全不是一回事
服务端转义函数必须带参数，否则形同虚设
PHP 的 htmlspecialchars() 默认不转义单引号，Java 的 StringEscapeUtils.escapeHtml4() 不处理 Unicode 变体，Python 的 html.escape() 默认不编码单引号——这些默认行为都会在属性上下文中留下缺口。
- PHP：必须显式传
ENT_QUOTES和'UTF-8'：htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - Java（JSTL）：用
<out value="${userInput}" escapexml="true"></out>，别依赖 EL 表达式默认行为 - Node.js：用
he.escape(input, { useNamedReferences: true })，避免只靠replace()手动实现 - 所有语言中，转义必须发生在**模板渲染/字符串拼接前**，而不是存库时——同一份数据可能被用在 HTML、JS、URL 多种上下文，存储时转义会破坏其他用途
真正难的不是知道该转哪几个字符，而是每次插入数据前，都得问一句：这个值最终落在 HTML 的哪个位置？是文本节点、双引号属性、JS 字符串，还是 URL 参数？上下文一错，转义就失效。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
