使用javascript字符串方法escapehtml可安全转义html实体，优先处理&再依次转义、"、'，通过正则与映射对象实现纯字符串操作，不依赖dom。
直接用 JavaScript 字符串方法做 HTML 实体转义，核心是把 、<code>>、&、"、' 这几个关键字符替换成对应实体。原生字符串方法（如 replace()）配合正则就能搞定，不需要引入外部库。
用 replace() 配合正则逐个替换
最常用也最直观的方式：对每个危险字符调用 replace()，用全局正则替换所有出现位置。
注意必须按顺序处理 & 优先，否则后续替换可能把新生成的 & 再次误转：
-
&→&（最先做） → <code><-
>→> -
"→" -
'→'（部分老浏览器需要，现代可选）
写成可复用的函数
封装成函数更安全、易复用。推荐使用带 g 标志的正则，并用对象映射提升可读性：
function escapeHtml(str) {
if (typeof str !== 'string') return str;
const map = {
'&': '&',
'': '>',
'"': '"',
"'": '''
};
return str.replace(/[&"']/g, char => map[char]);
}
调用示例：escapeHtml('A & B <script>alert(1)</script>') → "A & B <script>alert(1)</script>"
注意单引号和双引号的上下文差异
如果字符串将被插入到 HTML 属性中（比如 value="..."），双引号必须转义；若用于 value='...'，则单引号更重要。实际项目中建议统一转义两者，避免动态拼接出错。
另外，' 在 XML 和旧版 IE 中必要，HTML5 中多数场景可省略，但保留更稳妥。
不推荐只靠 innerHTML 或 textContent 的“取巧”方式
有人用 document.createElement('div').textContent = str; return div.innerHTML，这本质是借 DOM API 转义，不是字符串方法，且有性能开销、依赖 DOM 环境，服务端（Node.js）或无 DOM 场景不可用。题目明确要求“字符串方法”，应坚持纯字符串操作。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
