必须转义的五个基础字符是<、>、&、"、'，分别用<、>、&、"、'代替，否则会导致解析错误、内容截断或XSS风险；其他符号如©、中文、emoji等在UTF-8编码下无需转义。

直接在 HTML 中写 `<`、`>`、`&`、`"`、`'` 这五个字符，浏览器会误以为是标签或属性的一部分，导致内容错位、截断，甚至引发安全风险。正确做法是用对应的 HTML 实体代替它们。

必须转义的五个基础字符

只有这五个字符在任意 HTML 内容中（包括 ``、`

`、`title` 属性等）都必须转义，否则解析器会出错：

• < 替代 <（防止被当成标签开头）
• > 替代 >（防止被当成标签结尾）
• & 替代 &（防止触发实体解析，如 © 被截断）
• " 替代 "（用于双引号包围的属性值，如 title="a "quote""）
• ' 或 ' 替代 '（用于单引号属性值，或避免与 HTML 注释冲突）

属性值里的引号要特别小心

比如表格列头带提示：alert(1)"> —— 这里单引号和尖括号都得转，否则属性提前结束，脚本真会执行。

• 双引号属性中间出现 "，必须写成 "
• 单引号属性中间出现 '，建议统一用 '（兼容性更好）
• 动态设置时，别拼字符串，用 element.setAttribute('title', str)，它自动处理引号（但不处理 < 和 &）

代码片段展示别漏掉 &

如果是在表格里展示 HTML 代码，比如

• 统一用命名实体：<、>、&、"、'
• 避免混用命名和数字编码（如 < 和 <），易读性差且容易出错
• 服务端已转义的数据，前端不要再用 innerHTML 二次转义，否则变成 < 显示为文字“<”

其他符号一般不用转，但要注意编码

像 ©、®、¥、中文、emoji 这类字符，本身并不存在语法歧义，通常没必要再做 HTML 实体转义。不过有个前提不能忽略：文档必须声明 UTF-8 编码（）。要是这一步没配好，页面里这些字符就很可能显示成方块，或者直接变成问号。

• 版权符 © 可直接写，也可用 © 或 ©，效果一样
• 空格、换行、制表符等空白字符，在 HTML 中默认合并，如需保留用 或 CSS white-space: pre
• 前端渲染用户输入时，优先用 textContent 而非 innerHTML，天然防解析、不需手动转义