use CGI.escapeHTML