在XML和HTML这类标记语言中，部分特殊字符被赋予了特定的语法含义。例如，小于号用于标识标签的开始，大于号用于标识标签的结束。如果直接在文档内容中使用这些字符，解析器会将其误判为标签语法，进而引发文档解析错误。因此，我们需要使用转义字符来替代这些特殊字符，让解析器能够正确识别内容，确保文档结构的完整性与安全性。
为什么需要转义字符
标记语言的解析器在读取文档时，会按照预设的语法规则逐字符解析内容。当遇到特殊字符时，解析器会优先按照语法规则进行处理，而不是将其视为普通文本内容。比如，我们在HTML中想要展示一段包含<div>的文字说明，如果直接在源码中写入<div>，解析器会认为这是一个div标签的开始标识，而不是要展示的文本内容，这就会导致页面显示异常甚至整个文档结构错乱。
使用转义字符的本质是将这些具有语法功能的字符转换为一种替代实体，告诉解析器这些字符在此处仅作为普通文本展示，不具备语法控制作用。这种机制不仅保证了文档的可读性和正确性，也是前端开发和数据交换中不可或缺的基础规范。通过转义处理，开发者可以在页面中正常展示代码片段、数学公式以及各种包含特殊符号的文本数据。
HTML常用转义字符
在HTML标准中，需要重点转义的字符主要有5个。这些字符在HTML语法中扮演着关键角色，如标签的边界界定、属性值的包裹以及URL参数的连接等。为了在页面内容中正确展示它们，HTML定义了对应的实体名称和实体编号。
| 特殊字符 | 转义字符（实体名称） | 转义字符（实体编号） | 说明 |
|---|---|---|---|
| & | & | & | 与号，用于连接URL参数等场景，必须转义 |
| < | < | < | 小于号，标签开始标识 |
| > | > | > | 大于号，标签结束标识 |
| " | " | " | 双引号，属性值包裹符号 |
| ' | ' | ' | 单引号，属性值包裹符号 |
在实际编写HTML文档时，如果不注意这些字符的转义，很容易造成排版错误。特别是在属性值内部，如果文本内容本身包含了用于包裹属性值的引号，就必须进行转义处理。下面是一个HTML中转义字符使用的示例：
<!-- 错误写法，解析器会认为<div>是标签 --> <p>这是一个div标签：<div></p> <!-- 正确写法，使用转义字符 --> <p>这是一个div标签：<div></p> <!-- 属性值中包含双引号的转义示例 --> <input type="text" value="他说："你好"" />
在上述代码示例中，错误写法会导致解析器提前关闭当前段落标签，从而引发不可预期的渲染错误。而正确写法通过将小于号和大于号分别替换为对应的实体，确保了它们被当作纯文本输出。在属性值的双引号内部，如果需要显示双引号文本，同样使用实体名称进行替换，避免了属性值提前截断的问题。
XML常用转义字符及规范
XML（可扩展标记语言）的转义规则和HTML基本一致，同样需要处理5个核心特殊字符。不过，XML对语法的要求比HTML更加严格。在HTML中，某些解析器具有一定的容错性，能够自动修复一些未闭合或未转义的标签；但在XML中，所有在文本内容中出现的特殊字符都必须严格转义，否则文档会直接被解析器判定为无效，拒绝继续解析。
XML的转义字符和HTML的对应实体完全相同。与号必须转义为&，小于号转义为<，大于号转义为>，双引号转义为"，单引号转义为'。这种一致性使得开发者在处理这两种文档时可以复用相关的转义逻辑。XML文档中转义字符的使用示例如下：
<?xml version="1.0" encoding="UTF-8"?>
<user>
<name>张三'小名</name>
<desc>年龄小于18岁，爱好是<跑步></desc>
<link>https://ipipp.com/api?name=张三&age=17</link>
</user>
在上述XML示例中，<name>标签内的单引号被转义为'，<desc>标签内的小于号和大于号分别被转义，而<link>标签内的URL参数连接符与号则被转义为&。如果不进行这些转义处理，XML解析器在遇到未转义的小于号时会认为是一个新标签的开始，遇到未转义的与号时可能会与实体定义混淆，从而导致解析失败并抛出错误。
转义处理的注意事项与动态内容安全
在实际开发中，转义处理不仅仅是简单的字符替换，还需要结合具体场景注意以下几个关键事项，以确保文档的正确性和应用的安全性。
1. 准确界定转义范围
只有出现在文本内容、属性值中的特殊字符需要转义，标签本身的语法字符不需要也不能转义。比如在<div class="test">中，标签的<、>、"都是HTML语法结构的一部分，如果将这些字符转义，解析器就无法识别这是一个标签，而会将其当作普通文本输出。只有当特殊字符作为数据值出现在属性值内部，或者作为文本内容出现在标签之间时，才需要进行转义处理。
2. 实体名称和编号的选择策略
实体名称如<可读性更强，开发者一眼就能看出是小于号的转义，便于代码维护和阅读。但是，部分较老的解析器或者特定环境下的解析器可能不支持某些实体名称。相比之下，实体编号（如<）的兼容性更好，几乎被所有支持XML和HTML标准的解析器识别。如果项目对兼容性要求极高，或者运行在一些老旧的嵌入式设备解析环境中，可以优先使用实体编号。
3. 动态内容的转义与XSS防范
如果是后端动态生成XML或HTML内容，比如从数据库读取的用户输入内容、用户评论、文章正文等，一定要在输出前对特殊字符进行严格的转义处理。如果直接将用户输入的内容拼接到HTML或XML文档中，用户输入的特殊字符会破坏文档结构。更严重的是，恶意用户可能会输入如<script>alert('xss')</script>这样的内容，导致跨站脚本攻击（XSS），从而窃取用户信息或执行非法操作。
下面是一个Java中对HTML特殊字符进行转义的简单示例，展示了如何通过自定义工具类来过滤危险字符：
public class EscapeUtil {
// 对HTML特殊字符进行转义处理
public static String escapeHtml(String input) {
if (input == null) {
return null;
}
StringBuilder sb = new StringBuilder();
for (int i = 0; i < input.length(); i++) {
char c = input.charAt(i);
switch (c) {
case '&':
sb.append("&");
break;
case '<':
sb.append("<");
break;
case '>':
sb.append(">");
break;
case '"':
sb.append(""");
break;
case ''':
sb.append("'");
break;
default:
sb.append(c);
}
}
return sb.toString();
}
public static void main(String[] args) {
// 模拟用户输入的恶意脚本
String content = "用户输入：<script>alert('xss')</script>";
System.out.println(escapeHtml(content));
// 输出结果：用户输入：<script>alert('xss')</script>
}
}
在上述Java代码中，escapeHtml方法接收一个字符串参数，遍历其中的每一个字符。当遇到需要转义的特殊字符时，将其替换为对应的HTML实体；对于普通字符，则直接追加到结果字符串中。通过这种前置的转义处理，即使用户输入了包含恶意脚本的字符串，在最终渲染到浏览器页面时，也会被当作普通文本展示，而不会被执行，从而有效保障了应用的安全性。
总结与要点回顾
转义字符在XML和HTML文档处理中扮演着至关重要的角色，它们是区分语法结构和数据内容的关键界限。无论是静态编写文档，还是动态生成内容，开发者都必须熟练掌握5个核心特殊字符的转义规则。在实际应用中，要准确界定转义范围，根据兼容性需求选择合适的实体形式，并高度重视动态内容的转义处理，以防范XSS等安全漏洞。只有严格遵循这些规范，才能保证文档在各种环境下的正确解析与安全运行。