转义 & < > 等特殊字符，或还原命名与数字实体
结果会显示在这里
编解码使用 he，覆盖 HTML5 全部 2200+ 命名实体（…、ϑ、¾…）以及十进制 / 十六进制数字实体。
< > & 等字符在 HTML 里有语法含义，直接写入会被解析成标签；转成 < > & 后才能作为纯文本显示。
把不可信输入转义后再插入 HTML 是防 XSS 的基本手段，但属性、脚本、URL 等不同位置各有规则，不能只依赖这一层。