自幹型tpl似乎還需要調整

replaceTpl.js

// escape unsafety chart
// via: http://stackoverflow.com/a/12034334
window.entityMap = {
    '<': '&lt;',
    '>': '&gt;',
    '"': '&quot;',
    '\'': '&#39;',
    '/': '&#x2F;'
};


// 將 str(template) 中特定字串(#{$str})以 物件式 批次取代傳回
window.replaceTpl = function(str, obj) {
    var pattern = /\#\{\$(.+?)\}/g;
    return str.replace(pattern, function(match) {
        return String(obj[match.replace(pattern, '$1')]).replace(/[<>"'\/]/g, function(s) {
            return window.entityMap[s];
        });
    });
};

加了 escape 的 string map