我遵循WP的延迟转义原则，但我不确定在处理ajax请求时何时转义HTML特殊字符。

注意，据我所知，在使用jQuery将数据设置到元素时.text() 方法，或使用createTextNode（）`方法，它会自动转义文本内容。所以这个问题不适用于使用这些方法。

将文本内容设置为具有innerHTML属性或jQuery的元素时。html（）方法在ajax请求之后，是用js转义文本内容更好，还是用js转义服务器端的文本内容更好esc_html()?

这里有两个例子，我不知道最好的是什么：

在发送到客户端之前退出服务器端：

// PHP

// Final stage of processing the ajax request (server side).
echo esc_html($text);
die();


//JS (jQuery)

// Final stage of a JS ajax request
success: function(response) {
    $(\'.example\').html(\'<div class="example">\' + response + \'</div>\'); // The response is already escaped
}

// PHP

// Final stage of processing the ajax request (server side).
echo $text;
die();


//JS (jQuery)

/**
 * Example of my js html escape function
 */
function escapeHtml(unsafe) {
    return unsafe
         .replace(/&/g, "&")
         .replace(/</g, "&lt;")
         .replace(/>/g, "&gt;")
         .replace(/"/g, "&quot;")
         .replace(/\'/g, "&#039;");
 }

//Final stage of a JS ajax request
success: function(response) {

    // Escape the untrusted data
    $(\'.example\').html(\'<div class="example">\' + escapeHtml(response) + \'</div>\'); // The response needs to be escaped
}