Каков минимальный безопасный уровень выхода из HTML?

Question

Предположим, у меня есть произвольный текст, который мы назовем ТЕКСТ. Если я заменим все экземпляры < на <, а все экземпляры & на & и заменю TEXT на HTML-документ, например, так:

<div>TEXT</div>

Тогда выполнил ли я свой долг настолько, чтобы избежать специальных символов?

Answer 1

В значительной степени, да.

Экранирующие кавычки также могут быть полезны, если есть вероятность, что они могут оказаться в строке атрибута.