El decodificador sigue el algoritmo de referencias de carácter del estándar HTML: las 2.125 entidades con nombre, las 106 heredadas que no necesitan punto y coma, las referencias numéricas y la tabla Windows-1252 para los códigos 128-159.
Los caracteres de control U+0080 a U+009F no se pueden escribir como referencia numérica (el navegador los convierte), así que el codificador los deja tal cual.
Codificar & < > y comillas basta para insertar texto en HTML o en atributos entrecomillados. No sustituye el escapado específico de JavaScript, CSS o URLs.