中特殊字符转义取决于插入方式：用textcontent无需手动转义，安全显示原始内容；用innerhtml则必须对&、、"、'五字符转义，且&须最先处理，避免双重转义或解析错误。
<label></label> 里的特殊字符转义，和所有 HTML 文本节点一样，只取决于你如何把内容塞进去——不是 label 特殊，而是浏览器解析规则统一作用于所有文本位置。
用 textContent 赋值就不用手动转义
只要你是通过 JS 动态设置 label 的文字内容，直接用 textContent 是最安全、最省心的方式：
-
label.textContent = "用户输入: 5 0";→ 浏览器原样显示，不会当标签解析 - 保留原始空格、换行、Unicode 字符（如中文、emoji），无需额外处理
- 自动规避 XSS：哪怕字符串里混着
<script>alert(1)</script>，也纯当文本
用 innerHTML 插入时必须先转义
如果你非要用 innerHTML（比如想在 label 里加 <strong></strong> 样式），那就要自己负责清洗：
- 错误写法：
label.innerHTML = "价格: " + userInput + " 元";→ 若userInput是"10 & 20"，&会被当成实体起始符，可能出错 - 正确做法：对原始字符串做最小化转义，只处理
&、、<code>>、"、' - 推荐函数（轻量无依赖）：
function escapeHtml(str) {<br> return str<br> .replace(/&/g, '&')<br> .replace(/, ' .replace(/>/g, '>')<br> .replace(/"/g, '"')<br> .replace(/'/g, ''');<br>}
模板字符串或服务端渲染时注意双重转义
常见翻车点：后端已用 htmlspecialchars() 或 html.escape() 转义过，前端又调一次 escapeHtml()：
- 现象：
"<div>" 变成 <code>"<div>"，页面显示字面量而非标签 - 判断依据：看 API 返回的 JSON 字段值本身是否已含
这类实体；如果是，说明已转义，前端应跳过 - React/Vue 用户注意：
{value}自动等价于textContent，无需再逃；只有dangerouslySetInnerHTML或v-html才需确认数据是否可信且已清洗
真正容易被忽略的是上下文切换：同一个字符串，在 label 里用 textContent 安全，在 input 的 title 属性里却要单独处理引号；& 必须永远第一个转，否则会引发连锁错误。别假设“框架帮你兜底”，得看清数据流里哪一环真正触达了 HTML 解析器。
