在反射型 XSS 中，为什么我们需要清理单引号、双引号、与号和反斜杠

问：

基于本文

https://resources.infosecinstitute.com/topic/how-to-prevent-cross-site-scripting-attacks/

当注入的数据反映在响应中时，就会发生反射 XXS。我的想法是，例如，如果我的页面中有一个搜索框，并且用户输入的搜索词显示在页面中，那么有人可以写成搜索词：

<script>alert('x');</script>

这将在显示响应的页面中被读取为常规 HTML 元素。

但是，假设大于和小于已经在输入中被阻止（这意味着它们将无法放入脚本标记或任何标记），如果我允许在响应中反映单引号、双引号、与号和反斜杠，有什么问题。我试图理解它，但我不确定我是否理解正确。