使用动态预标记的警告XSS

根据专家建议，用户内容（replyContent）包含在<pre>标签中，以减轻XSS，如下所示。但是为什么每个人都说下面的代码避免XSS呢？？

无论如何，我尝试注入</pre><script>alert("XSS");</script><pre>，但它成功地阻止了尝试，并显示了代码片段。

那么，这是否足够（已经有代码可以去掉<、>、/、'、&等特殊字符），或者有什么方法可以绕过这种保护？？

知道吗？？

代码段：

$row = $("<tr class='wp_replies_tr'></tr>"); 
...  
$msgColumn5 = $("<td width='112' class='wp_msgCol5'></td>");
$preTag = $("<pre class='wp_reply_content'></pre>");
$pre.text( replyContent );
$msgColumn5.html($pre);
$row.append($msgColumn5);