Hallo,
HTML-Browser parsen aus Rücksichtnahme auf Schnullibullis so ziemlich jeden Scheiß. "&" ist natürlich trotzdem fehlerhaft, aber praktisch (i.d.R.) ohne Konsequenz. Man findet auch besonders in URLs sehr oft unkodierte "&".
Gerade dort kann die Fehlertoleranz auch False Positives produzieren, bspw. führt
<a href="bla?param=1¥=1®=1¢=1£=1¬=1">uri</a>
im Firefox und IE zu folgender URI:
bla?param=1¥=1®=1¢=1£=1¬=1
Das ist allerdings nicht bei allen Entities der Fall, es scheint recht willkürlich zu sein. Jedenfalls sollte man mit der Auswahl der Parameternamen vorsichtig sein, falls man sich auf die "Fehlertoleranz" verlässt. Oder halt gleich konformes und damit eindeutiges HTML schreiben.
Mathias