XSS คือการที่ผู้โจมตีฝังสคริปต์อันตรายลงในหน้าเว็บเพื่อขโมยข้อมูลหรือทำการกระทำที่ไม่พึงประสงค์ HTML Escaping เป็นแนวป้องกันขั้นพื้นฐานอย่างหนึ่ง

ควร Escape เมื่อแสดงผลอินพุตที่มาจากผู้ใช้ทุกชนิด เช่น คอมเมนต์ ข้อความ ข้อมูลฟอร์ม ฯลฯ เนื้อหาใด ๆ ที่อาจมีแท็ก HTML ควรถูก Escape

ทั้งสองแสดงถึง < (น้อยกว่า) เหมือนกัน &lt; เป็น named entity; ส่วน &#60;/&#x3C; เป็น numeric/hex entity ใน HTML สมัยใหม่ทั้งสองทำงานเหมือนกัน ใช้ &lt; เพื่อให้อ่านง่าย และใช้ &#60;/&#x3C; เมื่อไม่รองรับ named entity หรือเมื่อแปลงตัวอักษรตามรหัสอย่างเคร่งครัด ควรใส่เซมิคอลอนท้ายเสมอ มิฉะนั้น parser อาจต่อกับตัวอักษรถัดไป

ไม่ได้ HTML Escaping ใช้ได้เฉพาะใน HTML context ส่วน JavaScript CSS และ URL ต้องใช้เทคนิค Escape คนละแบบ

มักเกิดจากการ Escape ซ้ำหลายครั้ง เช่น รอบแรก &lt; ถูกแปลงเป็น &amp;lt; แล้วรอบต่อมา &amp; ถูก Escape เป็น &amp;amp; ทำให้ได้ &amp;amp;lt; ควรหลีกเลี่ยงการ Escape ซ้ำโดยไม่จำเป็น