HTML-сущности

Ровно пять: & становится &amp;, < и > — &lt; и &gt;, а две кавычки — &quot; и &apos;. Это символы, способные вырваться из разметки или атрибута; всё остальное, включая буквы с диакритикой и эмодзи, совершенно законно в HTML-документе как есть, когда страница объявляет UTF-8.

Когда текст пройдёт через систему, портящую байты за пределами ASCII — старый почтовый конвейер, древний CMS, конфиг с неясной кодировкой. Полный режим записывает каждый не-ASCII символ именованной сущностью, где она есть (&eacute;, &mdash;), и hex-ссылкой (&#x259;), где нет — чистый ASCII, переживающий любой транспорт.

Потому что декодирование должно выполняться ровно один раз. &amp;lt; — это кодировка четырёх символов &lt;: так пишет человек, документирующий HTML. Декодер, работающий до стабилизации, превратил бы это в <, испортив любой документ о разметке. Если текст действительно закодирован дважды — запустите декодирование дважды, осознанно.

Сущности с именем T не существует, поэтому &T; — не ссылка, а два символа прозы, случайно похожие на неё. Съесть их значило бы изобрести текст, которого не было. То же с одиночными амперсандами: a & b не требует декодирования, и инструмент не гадает.

Числовые ссылки на символы: десятичная после &#, шестнадцатеричная после &#x — они называют кодовую точку Unicode напрямую и покрывают весь Unicode: &#x1F642; — это 🙂. Поэтому полное кодирование прибегает к ним для символов без имени. Ссылки на невозможные кодовые точки (за U+10FFFF, одиночные суррогаты) остаются нетронутыми, а не заменяются мусором.

Нет — другой слой, другой синтаксис. Процентное кодирование URL (%20, %C3%A9) защищает символы внутри веб-адресов; HTML-сущности — внутри разметки. URL внутри HTML-атрибута может законно требовать обоих, в правильном порядке: сначала процентно кодируется URL, затем сущностями — атрибут. Вторую половину делает URL-кодировщик на этом сайте.