[cyber]

хватит чего то такого для экранирования по стороне клиента

stringUtils.prototype.escapeHTML = html => {
    let elem = document.createElement("div");
    elem.textContent = html;
    return elem.innerHTML;
};

что бы не словить xss?