后端输出

在服务器端（如PHP、Java、Python）渲染HTML时，必须对动态数据执行实体编码。模板引擎（如Twig、Blade）通常自动转义，但若直接拼接字符串，务必手动转义。

<?php echo htmlspecialchars($userInput, ENT_QUOTES, 'UTF-8'); ?>

前端JavaScript

在JavaScript中操作DOM时，使用 textContent 或 innerText 会自动转义，但若使用 innerHTML 或设置HTML属性，则需手动编码。

element.textContent = userInput; // 安全
// 不安全： element.innerHTML = userInput;

API传输

当通过JSON API传递数据时，不需要对HTML实体进行编码，因为JSON本身是安全传输格式，应由前端在渲染时处理。

总结

核心原则：在数据即将进入HTML上下文时才进行编码，避免双重编码或存储已编码的数据。使用本工具可快速验证编码效果。