<input value="#(str)">如果str含有""，则页面就会报错；<input value='#(str)'>如果str含有''，则页面就会报错；一两个还好单独处理，处理很多个就难搞了。
12､#escape 指令
escape 指令用于 html 安全转义输出，可以消除 XSS 攻击。
switch (cur) {
case '<':
w.write("<");
break;
case '>':
w.write(">");
break;
case '"':
w.write(""");
break;
case '\'':
// w.write("'"); // IE 不支持 ' 考虑 '
w.write("'");
break;
case '&':
w.write("&");
break;
default:
w.write(str, i, 1);
break;
}