Desinfectar la entrada del usuario antes de agregarla al DOM en Javascript

Nunca use escape(). No tiene nada que ver con la codificación HTML. Es más como codificación de URL, pero ni siquiera es correctamente eso. Es una extraña codificación no estándar disponible solo en JavaScript.

Si quieres un codificador HTML, tendrás que escribirlo tú mismo ya que JavaScript no te da uno. Por ejemplo:

function encodeHTML(s) {
    return s.replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/"/g, '&quot;');
}

Sin embargo, mientras que esto es suficiente para poner su user_id en lugares como el input value, no es suficiente para id porque los IDs solo pueden usar una selección limitada de caracter. (Y % no está entre ellos, así que escape() o incluso encodeURIComponent() no es bueno.)

Usted podría inventar su propio esquema de codificación para poner cualquier carácter en un ID, por ejemplo:

function encodeID(s) {
    if (s==='') return '_';
    return s.replace(/[^a-zA-Z0-9.-]/g, function(match) {
        return '_'+match[0].charCodeAt(0).toString(16)+'_';
    });
}

Pero todavía tienes un problema si el mismo user_id ocurre dos veces. Y para ser honesto, todo el asunto con lanzar cadenas HTML suele ser una mala idea. Utilice métodos DOM en su lugar, y conserve las referencias de JavaScript a cada elemento, por lo que no tiene que seguir llamando a getElementById, o preocuparse por cómo las cadenas arbitrarias se insertan en los IDs.

Eg.:

function addChut(user_id) {
    var log= document.createElement('div');
    log.className= 'log';
    var textarea= document.createElement('textarea');
    var input= document.createElement('input');
    input.value= user_id;
    input.readonly= True;
    var button= document.createElement('input');
    button.type= 'button';
    button.value= 'Message';

    var chut= document.createElement('div');
    chut.className= 'chut';
    chut.appendChild(log);
    chut.appendChild(textarea);
    chut.appendChild(input);
    chut.appendChild(button);
    document.getElementById('chuts').appendChild(chut);

    button.onclick= function() {
        alert('Send '+textarea.value+' to '+user_id);
    };

    return chut;
}

También podría usar una función de conveniencia o un framework JS para reducir la longitud de las llamadas create-set-appends allí.

ETA:

Estoy usando jQuery en este momento como un framework

OK, entonces considere los accesos directos de creación de jQuery 1.4, por ejemplo.:

var log= $('<div>', {className: 'log'});
var input= $('<input>', {readOnly: true, val: user_id});
...

El problema que tengo ahora mismo es que uso JSONP para agregar elementos y eventos a una página, no se puede saber si los elementos ya existen o no antes de mostrar un mensaje.

Puede mantener una búsqueda de user_id a nodos de elementos (u objetos wrapper) en JavaScript, para guardar poniendo esa información en el propio DOM, donde los caracteres que pueden ir en un id están restringidos.

var chut_lookup= {};
...

function getChut(user_id) {
    var key= '_map_'+user_id;
    if (key in chut_lookup)
        return chut_lookup[key];
    return chut_lookup[key]= addChut(user_id);
}

(El prefijo _map_ se debe a que los objetos JavaScript no funcionan bastante como una asignación de cadenas arbitrarias. La cadena vacía y, en IE, algunos nombres de miembros Object, confunden se.)