这是一个模拟服务器的程序。HTMLEncode函数来自微软的ASP，用纯JavaScript编写:

htmlEncode函数{ var ntable = { “l”:“amp,” “50%”:“莉莉。托姆琳”, “>”:“gt”, “\“”:“参与的。” 出于美观; s=s.replace(/[&<>")/ g, function (ch){ 返回"&"+ntable[ch]+";"; 出于美观) s = s.replace(/[胡言乱语])/g, function(ch) 返回"&#"+ch.charcodeat(0).tostring()+";"; 出于美观); s return; 出于美观

结果不编码撇号，而是编码其他HTML特殊字符和0x20-0x7e范围之外的任何字符。

使用这里的一些其他答案，我做了一个版本，在一次传递中替换所有相关字符，而不考虑不同编码字符的数量(只需调用replace())，因此对于较大的字符串将更快。

它不依赖于DOM API存在，也不依赖于其他库。

window.encodeHTML = (function() {
    function escapeRegex(s) {
        return s.replace(/[-\/\\^$*+?.()|[\]{}]/g, '\\$&');
    }
    var encodings = {
        '&'  : '&',
        '"'  : '"',
        '\'' : ''',
        '<'  : '&lt;',
        '>'  : '&gt;',
        '\\' : '&#x2F;'
    };
    function encode(what) { return encodings[what]; };
    var specialChars = new RegExp('[' +
        escapeRegex(Object.keys(encodings).join('')) +
    ']', 'g');

    return function(text) { return text.replace(specialChars, encode); };
})();

运行了一次之后，您现在可以调用

encodeHTML('<>&"\'')

得到&lt;&gt;&& #39;

FWIW，编码没有丢失。编码由标记解析器(浏览器)在页面加载期间使用。读取和解析源代码后，浏览器将DOM加载到内存中，编码就被解析成它所表示的内容。所以当你的JS被执行读取内存中的任何东西时，它得到的字符就是编码所表示的。

在这里，我可能严格按照语义操作，但我希望您理解编码的目的。“失去”这个词听起来像是某件事没有像它应该做的那样运作。

好的答案。注意，在jQuery 1.4.2中，如果要编码的值是undefined或null，你可能会得到如下错误:

jQuery("<div/>").text(value).html不是一个函数

OR

对象没有方法“html”

解决方案是修改函数来检查实际值:

function htmlEncode(value){ 
    if (value) {
        return jQuery('<div/>').text(value).html(); 
    } else {
        return '';
    }
}

编辑:这个答案是很久以前发布的，htmlDecode函数引入了一个XSS漏洞。它已被修改，将临时元素从div改为textarea，减少XSS的机会。但是现在，我鼓励您像其他回答中建议的那样使用DOMParser API。

我使用这些函数:

function htmlEncode(value){
  // Create a in-memory element, set its inner text (which is automatically encoded)
  // Then grab the encoded contents back out. The element never exists on the DOM.
  return $('<textarea/>').text(value).html();
}

function htmlDecode(value){
  return $('<textarea/>').html(value).text();
}

基本上，textarea元素是在内存中创建的，但它永远不会追加到文档中。

在htmlEncode函数上，我设置了元素的innerText，并检索编码的innerHTML;在htmlDecode函数上，我设置了元素的innerHTML值，并检索了innerText。

在这里查看一个正在运行的示例。

基于angular的sanitize…(es6模块语法)

// ref: https://github.com/angular/angular.js/blob/v1.3.14/src/ngSanitize/sanitize.js
const SURROGATE_PAIR_REGEXP = /[\uD800-\uDBFF][\uDC00-\uDFFF]/g;
const NON_ALPHANUMERIC_REGEXP = /([^\#-~| |!])/g;

const decodeElem = document.createElement('pre');


/**
 * Decodes html encoded text, so that the actual string may
 * be used.
 * @param value
 * @returns {string} decoded text
 */
export function decode(value) {
  if (!value) return '';
  decodeElem.innerHTML = value.replace(/</g, '&lt;');
  return decodeElem.textContent;
}


/**
 * Encodes all potentially dangerous characters, so that the
 * resulting string can be safely inserted into attribute or
 * element text.
 * @param value
 * @returns {string} encoded text
 */
export function encode(value) {
  if (value === null || value === undefined) return '';
  return String(value).
    replace(/&/g, '&amp;').
    replace(SURROGATE_PAIR_REGEXP, value => {
      var hi = value.charCodeAt(0);
      var low = value.charCodeAt(1);
      return '&#' + (((hi - 0xD800) * 0x400) + (low - 0xDC00) + 0x10000) + ';';
    }).
    replace(NON_ALPHANUMERIC_REGEXP, value => {
      return '&#' + value.charCodeAt(0) + ';';
    }).
    replace(/</g, '&lt;').
    replace(/>/g, '&gt;');
}

export default {encode,decode};