In HTML haben & < > " und ' eine Bedeutung. Wer Text in eine Seite oder ein Attribut einsetzt, muss sie maskieren, sonst bricht das Markup oder es entsteht eine Lücke für Cross-Site-Scripting. Bei Seiten in UTF-8 reicht dieser kleine Satz.
Alle Zeichen außerhalb von ASCII zu maskieren (ä als ä oder ä) hilft nur, wenn die Zeichenkodierung unklar ist, etwa in alten E-Mail-Vorlagen. Beim Auflösen versteht das Werkzeug die gängigen benannten Entities und alle numerischen (€ und €).