HTML文本转义能覆盖脚本中的全部风险吗？

不能。文本节点、属性、链接位置及脚本都遵循各自的解析规则，仅替换尖括号不能覆盖每种使用方式。

1. 先判断文本最终放到哪一种上下文。
2. 采用该位置适用的编码或安全接口。
3. 用预期输入检查最终页面的实际解释。

注意：不要把一个通用转义结果当作所有场景的安全保证。