在HTML属性中，会自动对实体字符进行转义。

   <img src="1" onerror="alert(1)">

   和

   <img src="1" onerror="alert&#x28;1&#x29;"> 

   是等效的