为什么不把结果当HTML插入

解码可能恢复出 script 标签、图片元素或事件属性，如果直接插入网页会产生不必要的执行或资源加载。本页把内容赋给 textarea 的文本值，不使用用户输入作为 innerHTML，因此恢复出的标签只作为字符可读。它不等于对结果做了通用安全净化，复制到别处之后如何使用仍需要对应上下文处理。实体解码是表示转换，不能用来证明一段文本可以直接成为可信网页内容。