我正在尝试实现OWASP XSS预防备忘单中的规则1。规则1规定，在将以下字符插入<div>：

<代码>&；-->；&；amp；<；-->；&；lt；>；-->；&；>；"；-->；&；quot；'-->；&；#x27；

我的目标是将编码字符插入到DOM中，并将它们呈现为非编码值。然而，这似乎是不可能的，带引号。

当您将 & --> &amp; < --> &lt; > --> &gt; " --> &quot; ' --> &#x27; 或"转换为DIV的innerHTML，浏览器将其转换回'或".

'

document.getElementById("encodingNotWorking").innerHTML = "& > < "  ' ' ""

let domData = document.getElementById("encodingNotWorking").innerHTML;

document.getElementById("actualCharacters").innerText = domData;

（JSFiddle）

如何将编码的实体（引号）放入DOM中，将它们呈现为非编码值，并验证编码的实体是否确实在DOM中？

顺晟科技：