输出时转义 HTML 实体

在把不可信文本插入 HTML 前进行转义，避免尖括号与引号逃逸出所在上下文造成注入。

概述

输出时转义 HTML 实体：在把不可信文本插入 HTML 前进行转义，避免尖括号与引号逃逸出所在上下文造成注入。

解决什么问题

本示例演示如何用 JavaScript 实现「输出时转义 HTML 实体」。它聚焦一个具体且可复用的技术要点，把完整实现与必要说明放在一起，读者可以直接复制使用，也可以据此理解背后的设计思路与取舍。示例刻意保持职责单一，避免把多个无关功能揉进同一段代码，从而降低理解与复用成本。

核心思路

代码在进入核心逻辑前先做输入与边界检查，对非法参数提前返回或抛出明确错误，避免错误状态在下游扩散。核心处理部分尽量保持清晰、可预测，把校验、计算与状态变更分离，使逻辑更易于测试和推演。对于可能失败或耗时的操作，示例显式处理失败路径并给出清晰的错误信息，而不是让异常静默吞没，从而缩短排查时间。

适用场景

本示例适用于以下场景：安全边界与输入隔离。在实际项目中，应根据真实负载与输入规模调整参数与容量，关注边界条件与并发情形下的行为，并用单元测试或集成测试锁定预期结果，防止后续修改悄然改变行为。

注意事项

把示例用于生产环境时，应结合团队的编码规范、错误处理约定与可观测性要求加以调整。例如补充结构化日志以便追踪，明确超时与重试策略以提升健壮性，并对用户输入做必要校验以满足安全边界要求。理解示例背后的原理，往往比直接复制代码更重要，因为需求变化时通常需要对参数与结构做出调整。

代码示例

const ENTITIES = {
  "&": "&amp;",
  "<": "&lt;",
  ">": "&gt;",
  '"': "&quot;",
  "'": "&#39;",
};

export function escapeHtml(text) {
  if (text === null || text === undefined) return "";
  return String(text).replace(/[&<>"']/g, (char) => ENTITIES[char]);
}