$('#element').text('This is <b>bold</b> & special');

function escapeHtml(text) {
  return text.replace(/[&<>"'`]/g, function(match) {
    return {
      '&': '&amp;',
      '<': '&lt;',
      '>': '&gt;',
      '"': '&quot;',
      "'": '&#39;',
      '`': '&#x60;'
    }[match];
  });
}

$('#element').html(escapeHtml('This is <b>bold</b> & special'));

var text = document.createTextNode('This is <b>bold</b> & special');
$('#element').empty().append(text);

var str = 'This is <b>bold</b> & special';
$('#element').html($.parseHTML(str));

// 保留 HTML 标签但转义特殊字符
function safeHtml(html) {
  var div = document.createElement('div');
  div.textContent = html;
  return div.innerHTML;
}

// 使用示例
var userContent = '<script>alert("XSS")</script> & <b>bold</b>';
$('#output').html(safeHtml(userContent));