Las entidades con nombre, como &, se leen de forma natural; las formas numéricas, como & — o hexadecimales, & — funcionan con cualquier carácter, aunque no tenga nombre. Las entidades existen para que los caracteres de marcado puedan aparecer como texto: sin ellas, un < suelto abre una etiqueta y rompe el análisis.
En la práctica, en HTML solo hay que escapar cinco caracteres: < > & " ' — escapar el resto es cuestión de legibilidad, no de seguridad.
Tabla de referencia: referencias de caracteres con nombre de HTML5 completas — escriba para buscar y haga clic en una fila para copiar su código de entidad.
Consejo: pegue un único carácter para encontrar su entidad