HTML 实体编码与解码，防止 XSS 注入