JS: escape HTML