xml.sax.saxutils.escape仅转义&、三个字符，不处理引号和unicode；属性值必须用quoteattr，正文可用escape；不可替代html.escape或替代elementtree等完整xml生成方案。
escape 会把哪些字符变成实体
xml.sax.saxutils.escape 只处理三个基础字符：& → &， → <code>，<code>> → >。它**不会**转义单引号、双引号或 Unicode 字符（比如中文、emoji），也不会处理引号包裹属性值时的边界问题。
常见错误现象：用 escape 处理属性值后仍报 XMLSyntaxError: not well-formed，就是因为没对 " 或 ' 做额外处理。
- 使用场景：生成 XML 内容文本（如
<title>...</title>中的正文）时够用；但用于属性值（<tag attr="..."></tag>）必须配合引号处理 - 参数差异：只接受一个字符串和可选的
entities字典（用于自定义映射），不支持quote参数——这点和html.escape不同 - 性能影响：纯 Python 实现，无编译加速，但对普通长度字符串几乎无感知；别在高频循环里反复调用它做同一段内容
escape 和 quoteattr 的分工要分清
很多人以为 escape 能搞定所有 XML 安全输出，其实不是。xml.sax.saxutils.quoteattr 才是专门干属性值活的：它先调用 escape，再自动选 " 或 ' 包裹，并确保引号本身也被转义。
示例对比：
立即学习“Python免费学习笔记（深入）”；
from xml.sax.saxutils import escape, quoteattr text = 'He said "Yes" & left <early>' print(escape(text)) # He said "Yes" & left <early> print(quoteattr(text)) # "He said "Yes" & left <early>"
- 容易踩的坑：直接把
escape结果拼进attr="..."里，遇到原文含"就破坏结构 - 使用场景：正文内容用
escape；属性值一律用quoteattr，哪怕你确定当前没引号——未来数据不可控 - 兼容性注意：Python 2.7+ 都有，但
quoteattr在 Python 3.9+ 开始支持short_empty_elements等新参数，旧版本忽略
别拿 escape 当 HTML 转义用
xml.sax.saxutils.escape 和 html.escape 行为不同：前者不转 " 和 '，后者默认转全部五种（&, , <code>>, ", '）。混用会导致 XSS 风险或渲染异常。
- 常见错误现象：把 XML 工具处理过的字符串直接塞进 HTML 模板，结果
"没被转，导致onclick="alert(...)"被截断 - 判断依据很简单：输出目标是 XML 文件或接口响应？用
escape；目标是浏览器 HTML 页面？用html.escape - 参数差异：两者都支持
quote参数控制是否转引号，但xml.sax.saxutils.escape的quote=False是默认行为，而html.escape默认是True
手动拼接 XML 时，escape 不是万能解药
真正安全的 XML 构建方式是用 xml.etree.ElementTree 或 lxml，它们内部自动调用 escape 和 quoteattr。手写字符串拼接 + escape 只适合极简场景（比如日志打点、调试输出）。
- 容易踩的坑：以为加了
escape就能放心拼"<item>" + escape(val) + "</item>"—— 一旦val含<script></script>，虽然被转义成文本，但语义上已不是合法 XML 元素 - 性能提示：ElementTree 的
tostring()默认不缩进，比手动拼接 + 多次escape更快更稳 - 复杂点在于：如果你必须用字符串模板（比如 legacy 系统），那就得自己补全
quoteattr、检查根元素闭合、验证编码声明——这些escape一个都不管
