实际使用时还需要核对什么？

向页面插入文字时，选择合适的上下文比盲目转义更重要。普通文字、属性值、脚本字符串与地址都有各自的处理方式。本工具适合观察常见实体转换，不能单独承担所有页面上下文的安全过滤。实际应用应优先使用框架的文字绑定或浏览器的文本节点接口，避免将外部输入直接拼接为标记。核对双重转义时，可先确认来源是否已经把与号写成实体，再决定是否执行编码。