Entidades com nome como & lêem-se naturalmente; formas numéricas como & — ou hexadecimal & — funcionam para qualquer carácter, mesmo quando não existe nome. As entidades existem para que os caracteres de marcação possam aparecer como texto: sem elas, um < isolado inicia uma etiqueta e parte a análise.
Na prática, só cinco caracteres têm de ser escapados em HTML: < > & " ' — escapar o resto é uma questão de legibilidade, não de segurança.
Tabela de referência: referências completas de caracteres com nome do HTML5 — escreva para pesquisar, clique numa linha para copiar o seu código de entidade.
Sugestão: cole um único carácter para encontrar a sua entidade