它是一个可确保用户输入的HTML/CSS符合应用规范的API。换句话讲，这个API可以确保用户无法在HTML中提交恶意代码，这些恶意代码提交通常 被用于用户输入的个人资料、评论等会被服务端持久化的数据中。对Web应用来讲，“恶意代码”通常是指Javascript。CSS样式在调用 Javascript引擎的时候也会被认为是恶意代码。当然，通常一些“正常”的HTML和CSS也会被用于恶意的目的，所以我们也会对此予以处理。
