编辑：这个答案是很久以前发布的，该htmlDecode函数引入了一个 XSS 漏洞。它已被修改，将临时元素从 adiv更改为textarea减少 XSS 机会。但是现在，我鼓励您按照其他 anwswer 中的建议使用 DOMParser API 。

我使用这些功能：

function htmlEncode(value){
  // Create a in-memory element, set its inner text (which is automatically encoded)
  // Then grab the encoded contents back out. The element never exists on the DOM.
  return $('<textarea/>').text(value).html();
}

function htmlDecode(value){
  return $('<textarea/>').html(value).text();
}

基本上，一个 textarea 元素是在内存中创建的，但它永远不会附加到文档中。

在htmlEncode我设置innerText元素的函数上，并检索编码的innerHTML; 在htmlDecode函数上，我设置了innerHTML元素的值并innerText检索了 。

在此处检查运行示例。

jQuery 技巧不编码引号，在 IE 中它会去除你的空格。

基于Django 中的转义模板标签，我猜它已经被大量使用/测试过，我制作了这个功能来满足需要。

可以说，它比空白剥离问题的任何解决方法都更简单（并且可能更快） - 并且它对引号进行编码，例如，如果您要在属性值中使用结果，这是必不可少的。

function htmlEscape(str) {
    return str
        .replace(/&/g, '&')
        .replace(/"/g, '"')
        .replace(/'/g, ''')
        .replace(/</g, '&lt;')
        .replace(/>/g, '&gt;');
}

// I needed the opposite function today, so adding here too:
function htmlUnescape(str){
    return str
        .replace(/&quot;/g, '"')
        .replace(/&#39;/g, "'")
        .replace(/&lt;/g, '<')
        .replace(/&gt;/g, '>')
        .replace(/&amp;/g, '&');
}

2013 年 6 月 17 日更新：在寻找最快的转义过程中，我发现了一种replaceAll方法的实现：
http
: //dumpsite.com/forum/index.php?topic=4.msg29# msg29（此处也引用：最快替换字符串中字符的所有实例的方法）
这里的一些性能结果：http :
//jsperf.com/htmlencoderegex/25

它为replace上面的内置链提供相同的结果字符串。如果有人能解释为什么它更快，我会很高兴！？

2015-03-04 更新：
我刚刚注意到 AngularJS 正在使用上面的方法：https :
//github.com/angular/angular.js/blob/v1.3.14/src/ngSanitize/sanitize.js#L435

他们添加了一些改进 - 他们似乎正在处理一个模糊的 Unicode 问题，并将所有非字母数字字符转换为实体。我的印象是，只要您为文档指定了 UTF8 字符集，就不需要后者。

我会注意到（4 年后）Django 仍然没有做这些事情，所以我不确定它们有多重要：https :
//github.com/django/django/blob/1.8b1/django/utils /html.py#L44

2016 年 4 月 6 日更新：
您可能还希望转义正斜杠/。这不是正确的 HTML 编码所必需的，但是OWASP 建议将其作为反 XSS 安全措施。（感谢@JNF 在评论中提出这一点）

        .replace(/\//g, '/');

这是一个非 jQuery 版本，它比 jQuery.html()版本和jQuery版本都快得多.replace()。这会保留所有空格，但与 jQuery 版本一样，不处理引号。

function htmlEncode( html ) {
    return document.createElement( 'a' ).appendChild( 
        document.createTextNode( html ) ).parentNode.innerHTML;
};

速度： http : //jsperf.com/htmlencoderegex/17

演示：

输出：

脚本：

function htmlEncode( html ) {
    return document.createElement( 'a' ).appendChild( 
        document.createTextNode( html ) ).parentNode.innerHTML;
};

function htmlDecode( html ) {
    var a = document.createElement( 'a' ); a.innerHTML = html;
    return a.textContent;
};

document.getElementById( 'text' ).value = htmlEncode( document.getElementById( 'hidden' ).value );

//sanity check
var html = '<div>   &amp; hello</div>';
document.getElementById( 'same' ).textContent = 
      'html === htmlDecode( htmlEncode( html ) ): ' 
    + ( html === htmlDecode( htmlEncode( html ) ) );

HTML：

<input id="hidden" type="hidden" value="chalk    &amp; cheese" />
<input id="text" value="" />
<div id="same"></div>

我知道这是一个旧的，但我想发布一个可接受的答案的变体，它可以在 IE 中工作而无需删除行：

function multiLineHtmlEncode(value) {
    var lines = value.split(/\r\n|\r|\n/);
    for (var i = 0; i < lines.length; i++) {
        lines[i] = htmlEncode(lines[i]);
    }
    return lines.join('\r\n');
}

function htmlEncode(value) {
    return $('<div/>').text(value).html();
} 

下划线提供_.escape()和_.unescape()执行此操作的方法。

> _.unescape( "chalk & cheese" );
  "chalk & cheese"

> _.escape( "chalk & cheese" );
  "chalk & cheese"