¿Las entidades HTML son inherentemente inseguras?

Son seguros, pero es una buena práctica escapar o convertirlos

Esto te permitirá evitar ser:

• script inyectado
• Enfrenta una incompatibilidad de texto del navegador (¿has visto esos sitios con unicode como chars? )

Y probablemente más

Míralo como una forma estándar de representar un texto como debería estar en diferentes idiomas y codificaciones, ya que algunos utf8 estrictos mostrarán un texto mal formateado si no los evitas, porque algunos caracteres especiales con agudo o tilde, El usuario final no podrá reconocerlo cuando aparezca.