update escapePhtml()