use util::escapeAttrHTML() instead of html::escapeHTML()