layui.util.escape() 仅转义5个基础字符，无法防御URL伪协议、事件属性、大小写混淆或注释绕过等XSS变种，故不能替代后端校验或富文本安全处理。

layui.util.escape() 是最直接可用的方案，但它只做基础 HTML 实体转义，不能替代后端校验，也不能处理富文本场景。

为什么 escape() 不够用

它只转义 、<code>>、"、'、& 这 5 个字符，对以下情况完全无效：

前端开发

ys-agent 前端（frontend/）功能迭代的工程规范守门 skill。当任何 agent 接到 ys-agent 前端相关任务时——新增页面、新增组件、加 API、加 Pinia store、改路由、写 mock、调整布局、修改样式、对接后端接口、迁移 demo 代码、做主题、加权限、写公共组件、做数据可视化、做表单、做弹窗、做表格、做搜索过滤、调 Element Plus 用法、做响应式、做性能优化，或仅仅是在 frontend/ 目录下编辑任何 .vue / .ts / .scss / .c

下载

• URL 中的 javascript:alert(1) 或 data:text/html,<script>...</script>
• 事件属性如 onerror="alert(1)"、onclick，只要没被显式过滤就仍可执行
• 大小写混淆的 <script></script> 或注释绕过 <script></script>

前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！