html.unescape() 不生效的根本原因是后续环节二次转义或错误渲染方式：它仅还原实体字符，若用 innertext/textcontent 插入则标签不渲染；需改用 innerhtml（或等效方案）且确保内容可信，否则有 xss 风险。
Python 的 html.unescape() 为什么有时不生效
常见现象是调用 html.unescape('<p>Hello</p>') 得到 '<p>Hello</p>'，但插入页面后仍显示为源码而非渲染效果。根本原因不是函数失效，而是后续环节又做了二次转义——比如你把结果赋给了 element.innerText，或在 React 中用了双大括号插值。
关键判断点：html.unescape() 只负责把 HTML 实体还原成原始字符，它不管浏览器怎么渲染。要让标签真正生效，必须用 innerHTML（或 dangerouslySetInnerHTML、v-html）；若只是想显示源码，则用 textContent 更安全。
- 只对可信内容用
innerHTML，否则有 XSS 风险 - 数据库里存的是
<script>alert(1)</script>？先html.unescape()再决定是否渲染 - Unicode 实体（如
😂或😂）html.unescape()能处理，但 emoji 名称（如😂）不行，得配合codecs.decode(s, 'unicode_escape')
用 BeautifulSoup 解析含转义字符的 HTML 片段
当你用 BeautifulSoup(html_str, 'html.parser') 加载一段含 &、 的 HTML 字符串时，解析器默认会自动解码实体——这是它的设计行为，不是 bug。比如 <code><div>©</div> 会被解析成 <div>©</div>，内部文本节点的 .text 是 ©，而不是原始实体字符串。
但注意：如果你需要保留原始实体写法（比如做模板比对或审计），就得禁用自动解码：
- 用
BeautifulSoup(html_str, 'html.parser', convert_charrefs=False) - 或者改用
lxml解析器：BeautifulSoup(html_str, 'lxml')，它默认不展开实体 - 检查解析后节点的
.encode(formatter='html')输出，确认是否符合预期
JavaScript 中 DOMParser 处理转义字符的边界情况
DOMParser 解析字符串时，会按标准 HTML 规则自动处理实体，但它对上下文敏感。比如解析 'a & b 没问题，但解析 <code>'<script>alert("xss")</script>' 时，里面的 " 会被正确还原为双引号，而整个 <script></script> 标签也会被当成真实脚本节点（即使没执行）。
容易踩的坑：
- 不要用
DOMParser去“净化”用户输入——它不防 XSS，只做语法解析 - 解析结果中
script或style标签的内容仍需手动剥离，DOMParser不过滤 - 如果原始字符串来自 JSON 接口且已由后端
html.escape()过，前端再用DOMParser解析就多余，直接innerHTML即可
服务端模板与客户端解析的转义责任划分
典型链路是：数据库存原始字符串 → 后端模板（Jinja2/Flask）渲染 → 前端 JS 动态更新。这里转义只应发生在最终输出到 HTML 上下文前的一次。
错误模式：
- 后端用
html.escape()渲染模板，前端又对 API 返回字段调用escapeHtml()→ 出现< - 后端返回 JSON 里的
"title": "<h1>Hi</h1>"，前端却用textContent插入 → 显示为字面量，不是标题 - API 响应头是
Content-Type: application/json，说明字段值是原始字符串，该由前端转义；如果是text/html，大概率已转义完毕
最易被忽略的是属性值中的引号嵌套，比如法语文案 L'élément "clé" 直接塞进 data-tip="..." 会截断。此时不能只靠 html.escape()，得结合属性包裹方式选单/双引号，或用 json.dumps() 生成安全属性值。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
