JS: Escape an HTML string