公认的答案不正确。最好是使用一个库来转义xml。

正如在另一个问题中提到的

基本上，控制字符和超出Unicode范围的字符是不允许的。这也意味着，例如，调用字符实体是禁止的。”

如果你只转义这五个字符。您可能会遇到这样的问题:发现了一个无效的XML字符(Unicode: 0xc)

摘自:XML，转义

有五个预定义的实体:

&lt; represents "<"
&gt; represents ">"
&amp; represents "&"
&apos; represents '
&quot; represents "

所有允许的Unicode字符都可以用数字字符引用表示。例如:

中

大多数控制字符和其他Unicode范围被明确排除，这意味着(我认为)它们不能出现转义或直接:

XML中的有效字符

也许这将有所帮助:

XML和HTML字符实体引用列表:

在SGML、HTML和XML文档中 被称为字符的逻辑结构 数据和属性值由 字符序列，其中每个 性格可以直接表现出来 (代表自己)，或者可以 由一系列字符表示的 称为字符引用，其中 有两种类型:数字类型 字符引用和一个字符 实体引用。本文列出了 字符实体引用它 在HTML和XML文档中有效。

那篇文章列出了以下五个预定义的XML实体:

quot  "
amp   &
apos  '
lt    <
gt    >

根据万维网联盟(w3C)的规范，有5个字符不能以文字形式出现在XML文档中，除非用作标记分隔符或在注释、处理指令或CDATA部分中使用。在所有其他情况下，这些字符必须使用对应的实体或根据下表的数字引用替换:

Original CharacterXML entity replacementXML numeric replacement <                              &lt;                                    &#60;                                     >                              &gt;                                   &#62;                                     "                               &quot;                               &#34;                                     &                              &amp;                               &#38;                                     '                               &apos;                               &#39;                                    

注意，前面提到的实体也可以在HTML中使用，除了&apos;，它是在XHTML 1.0中引入的，在HTML 4中没有声明。因此，为了确保向后兼容性，XHTML规范建议使用&#39;代替。

对一个老问题的新的、简化的回答……

简化XML转义(有优先级，100%完成)

Always (90% important to remember) Escape < as &lt; unless < is starting a <tag/> or other markup. Escape & as &amp; unless & is starting an &entity;. Attribute Values (9% important to remember) attr=" 'Single quotes' are ok within double quotes." attr=' "Double quotes" are ok within single quotes.' Escape " as &quot; and ' as &apos; otherwise. Comments, CDATA, and Processing Instructions (0.9% important to remember) <!-- Within comments --> nothing has to be escaped but no -- strings are allowed. <![CDATA[ Within CDATA ]]> nothing has to be escaped, but no ]]> strings are allowed. <?PITarget Within PIs ?> nothing has to be escaped, but no ?> strings are allowed. Esoterica (0.1% important to remember) Escape control codes in XML 1.1 via Base64 or Numeric Character References. Escape ]]> as ]]&gt; unless ]]> is ending a CDATA section. (This rule applies to character data in general – even outside a CDATA section.)

如果要处理字符数据而不是标记，则只有<和&需要转义:

2.4字符数据和标记