jQuery replaceWith自动转义引号为"的异常问题求助

问题重现 #

使用jQuery的replaceWith(responseText)或.html()方法时，原始responseText内容：

<div id='whatsapp_icon' onclick='whatsappClick(&quot;37112345678&quot;, &quot;&quot;)'></div>

执行后被替换为：

<div id="whatsapp_icon" onclick="whatsappClick(&amp;quot;37112345678&amp;quot;, &amp;quot;&amp;quot;)"></div>

该问题近期突发，此前运行正常，且具备以下特征：

• 多数系统受影响，但并非全部
• 禁用浏览器扩展无效，问题在1-2天内陆续出现在独立系统中
• 未修改前端代码，也未更新jQuery库

可能的原因 #

1. 浏览器自动更新导致DOM解析逻辑变化 #

jQuery的replaceWith和.html()方法底层依赖浏览器原生的innerHTML API处理HTML渲染。近期主流浏览器（Chrome、Firefox、Edge等）的自动更新可能调整了属性值的转义规则：

• 原本浏览器会保留属性内的实体编码（如"），现在可能对属性值进行二次转义，把&转成&，最终呈现为"
• 同时浏览器统一了属性引号格式，将单引号替换成双引号，这也是结果中id='whatsapp_icon'变为id="whatsapp_icon"的原因

2. 服务器端输出的HTML字符串转义规则变更 #

虽然未修改前端代码，但服务器端依赖可能发生自动更新：

• 后端模板引擎（如JSP、PHP模板、Node.js模板库）的版本更新，导致输出HTML时对属性内引号的转义逻辑改变
• 服务器端防XSS安全中间件升级，对输出HTML进行了额外的实体编码，使得原本的"被再次转义

3. CDN或资源加载异常 #

若jQuery通过CDN加载，可能存在以下情况：

• CDN边缘节点缓存失效，意外加载了更新版本的jQuery（即使未主动更新），新版本对HTML字符串的处理逻辑发生变化
• 网络代理或防火墙对加载的jQuery资源进行了修改，导致其行为异常

4. 浏览器安全策略调整 #

近期浏览器可能收紧了内联脚本的安全规则：

• CSP（内容安全策略）默认规则更新，或页面CSP配置被后台调整，浏览器为防范XSS攻击，自动对内联事件属性中的引号进行额外转义
• 浏览器XSS防护机制升级，对包含内联脚本的HTML元素进行了更严格的编码处理

内容的提问来源于stack exchange，提问作者NonArtificialIntelligence