add escapeHtml()