<script>alert("xss");</script>
被转换成了
&lt;script&gt;alert("xss");&lt;/script&gt;