当我们在前端开发中需要将用户输入的数据渲染到页面上时，为避免 XSS 攻击，我们需要对用户输入的内容进行安全转义。为了方便开发者进行这一操作，可以使用 npm 包 htmlescape。
安装
在终端中输入以下命令即可安装 htmlescape：
npm install htmlescape
使用方法
首先需要引入 htmlescape：
const htmlEscape = require('htmlescape');然后就可以使用 htmlEscape() 方法对需要转义的字符串进行转义，例如：
const str = "<script>alert('xss attack')</script>"
const escapedStr = htmlEscape(str);
console.log(escapedStr); // 输出结果：<script>alert('xss attack')</script>htmlEscape() 方法还支持第二个参数，用于指定字符编码，默认为 'UTF-8'，例如：
const str = "<script>alert('xss attack')</script>"
const escapedStr = htmlEscape(str, 'ISO-8859-1');
console.log(escapedStr); // 输出结果：<script>alert('xss attack')</script>深度解析
在 htmlescape 的实现中，它使用了一个叫做“字符实体”的东西来对字符进行转义。所谓字符实体，就是一些以 & 开头、以 ; 结尾的字符串，例如 < 表示小于号 <。
在 htmlescape 中，对于不同的字符，它使用不同的实体来进行转义。例如对于 < 和 > 这两个字符，它分别使用了 < 和 > 两个字符实体。
另外需要注意的是，在 htmlescape 中，只有少量字符需要转义。具体来说，它只对以下这些字符进行了转义：
<转义为<>转义为>"转义为"'转义为'&转义为&
如果你需要对其他字符进行转义，需要手动添加到字符实体列表中。
总结
htmlescape 是一个非常便捷的 npm 包，可以帮助我们快速地对用户输入的内容进行安全转义。但是需要注意的是，它只对少量字符进行了转义，如果需要对其他字符进行转义，需要手动添加到字符实体列表中。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/50735