В чём разница между именованными, десятичными и шестнадцатеричными сущностями?+−
Это три способа записи одного и того же символа. Именованные сущности вроде © наиболее читаемы, но существуют лишь для нескольких сотен распространённых символов. Десятичные (©) и шестнадцатеричные (©) числовые сущности работают для любого символа Unicode через его кодовую точку и равнозначны друг другу - различается только система счисления.
Нужно ли экранировать каждый символ или только некоторые?+−
Для безопасности реально нужно экранировать только & < > " ' - это символы, которым HTML придаёт особое значение. Экранирование остального (букв с диакритикой, символов, эмодзи) необязательно и обычно полезно только тогда, когда вам нужен именно чистый ASCII-вывод, например для старой системы, которая некорректно обрабатывает не-ASCII текст.
Может ли декодирование испортить текст, который на самом деле не является сущностью?+−
Нет - амперсанд, не являющийся частью распознанного шаблона сущности (например, простое "AT&T"), остаётся без изменений, а нераспознанное имя сущности также остаётся нетронутым, вместо того чтобы быть угаданным или удалённым.