Экранировать HTML-символы в сущности онлайн

В тексте страницы критичны три: амперсанд, меньше и больше — без них разметка не начнётся. В значении атрибута к ним добавляются двойная и одинарная кавычки, иначе строка закроется раньше времени и всё, что дальше, станет частью тега. Кириллица, пробелы и знаки препинания в экранировании не нуждаются.

Закодируйте фрагмент здесь и вставьте результат внутрь блока pre и code. Браузер покажет <div> как обычный текст, а не создаст элемент. Если редактор CMS сам экранирует ввод, дополнительное кодирование даст двойное экранирование и в статье появятся строки вида < — проверьте предпросмотр.

Для вывода пользовательского текста в тело страницы — почти всегда да, и делать это нужно на сервере или в шаблонизаторе, а не вручную. Но контекст важен: внутри тега script, в значении href или в inline-обработчике события правила другие, и одних HTML-сущностей мало. Ручной прогон через страницу — это подготовка контента, а не механизм безопасности приложения.

Нет. Современные страницы отдаются в UTF-8, и русские буквы в них пишутся как есть — так текст короче и лучше индексируется. Числовые ссылки для кириллицы имели смысл во времена смешанных кодировок, а сегодня встречаются в основном в старых выгрузках и в письмах.

HTML-сущности решают, как символ будет показан в документе, а процентное кодирование — как он переживёт передачу в адресе. Для ссылки с параметрами нужен кодировщик URL. Если строка попадает в атрибут href, иногда требуются оба преобразования: сначала URL-кодирование значения, затем HTML-экранирование всего атрибута.

Замена символов происходит скриптом в открытой вкладке, поэтому черновик статьи или чужой отзыв можно вставлять спокойно: наружу ничего не уходит. Поля живут только до обновления страницы, так что забирайте результат кнопкой «Копировать» сразу.