L'échappement HTML remplace les caractères spéciaux (<, >, &, guillemets) d'une donnée par des entités, pour qu'elle soit affichée comme du texte et non interprétée comme du HTML. Il se fait à la sortie, selon le contexte (HTML, attribut, JavaScript, URL).
Exemple
<script>alert(1)</script>