必须转义、&、"、'五个字符才能防御基础xss；innerhtml直接执行html极危险，应优先用textcontent；富文本须经dompurify过滤；服务端转义需按上下文配置，如php需ent_quotes。
HTML实体转义不是“最后一道防线”，而是第一道、也是最脆弱的一道——用错上下文或漏掉字符，它就直接失效。
哪些字符必须转义才能拦住基础XSS
只转义 、<code>>、&、"、' 这五个字符，才能覆盖绝大多数 HTML 文本内容和属性值场景。少一个都可能被绕过：
- 漏
&：攻击者写<script></script>，浏览器会先解析实体还原出<script></script> - 漏
'：在title='{{ userInput }}'中输入' onclick=alert(1)，最终生成title='' onclick=alert(1)'，事件绑定成功 - 漏
"：同理，在双引号属性中闭合失败，导致后续内容被当作 HTML 解析
innerHTML 赋值前不转义 = 主动执行 XSS
前端写 element.innerHTML = userInput 是最危险的入口之一。哪怕用户只输入 <img src="x" onerror="alert(1)">，浏览器也会立刻执行 JS。
- 纯文本展示一律用
element.textContent = userInput，零风险，不解析任何 HTML - 真要渲染富文本（如评论带链接），必须先过
DOMPurify.sanitize(dirtyHtml)，再赋给innerHTML - 绝对不要自己写正则删
<script></script>或过滤onerror——绕过方式太多，比如<scr>ipt></scr>、<img alt="x" onerror="alert(1)">
服务端转义函数默认行为常留缺口
PHP 的 htmlspecialchars() 默认不转义单引号；Java 的 StringEscapeUtils.escapeHtml4() 不处理 Unicode 变体；Python 的 html.escape() 默认也不编码单引号——这些默认行为都会在属性上下文中留下缺口。
- PHP：必须显式传
ENT_QUOTES和'UTF-8'：htmlspecialchars($input, ENT_QUOTES, 'UTF-8') - Java（JSTL）：用
<out value="${userInput}" escapexml="true"></out>，别依赖 EL 表达式默认行为 - Node.js：推荐用
he.escape(input)，它默认转义全部五字符，且支持严格模式防畸形 Unicode
真正容易被忽略的是：同一个用户输入，可能出现在 HTML 内容、双引号属性、单引号属性、URL 属性、甚至内联 JS 字符串里——每个上下文需要的编码方式完全不同。只做一遍 HTML 实体转义，解决不了问题。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
