add HTML escaping