underscore 提供了 _.escape 函数，用于转义 HTML 字符串，替换 &, <, >, ", ', 和 ` 字符为字符实体。