Sollte ich benannte oder numerische Entitäten verwenden?

Benannte Entitäten (©, & eacute;) sind selbstdokumentierend und im Quellcode einfacher zu überprüfen, bevorzugen Sie sie daher für handgeführte HTML. Numerische Referenzen (©) funktionieren überall – einschließlich XML, RSS und SVG, wo die HTML-bezeichnete Menge nicht definiert ist – bevorzugen Sie also numerische, wenn Ihre Ausgabe etwas strengeres als einen Browser speist. Wenn Ihre Seiten als UTF-8 dienen (sie sollten es sein), können Sie auch nur die wörtlichen Zeichen verwenden und nur die fünf Specials entgehen.

Warum kaputt gehen mein XML- oder RSS-Feed?

XML definiert nur fünf Entitäten: & < > & quot; und & apos;. Jeder andere HTML-Name - , ©, — - ist in XML undefiniert, so dass ein konformer Parser in dem Moment, in dem er auf einen trifft, einen Fehler "undefined Entity" auslöst. Codieren Sie stattdessen mit numerischem Modus: ist der gleiche nicht kaputte Speicherplatz und gilt sowohl für HTML als auch für XML.

Was ist der Unterschied zwischen & # 233; und & # xe9 ;.

Nichts außer der Zahlenbasis - beide sind Zeichenreferenzen für é (U + 00E9). & # 233; verwendet dezimal, & # xe9; verwendet hexadezimal (das Präfix x, Groß- und Kleinschreibung). Hex-Form-Karten werden direkt auf Unicode-Code-Punkt-Notation abgelegt, weshalb Tooling oft emittiert, Browser behandeln die beiden identisch. Der Decoder akzeptiert hier beides.

Warum sehe ich < statt < in meiner Ausgabe?

Das ist doppelte Codierung: Die Zeichenfolge wurde zweimal entkommen, so dass das & von & lt; wieder in & amp; Dies geschieht normalerweise, wenn sowohl Ihre Vorlage als auch Ihr eigener Code denselben Wert entgehen oder bereits codierte Inhalte in einer Datenbank gespeichert und beim Rendern erneut geflohen werden. Dekodieren Sie zweimal mit der Schaltfläche „Austausch“, um das Original wiederherzustellen, und stellen Sie dann sicher, dass das Entweichen genau einmal erfolgt - zur Ausgabezeit, nicht zur Speicherzeit.

Warum verwendet dieses Tool nicht document.createElement zum Dekodieren?

Der übliche TextArea/InnerHTML-Trick funktioniert nur in einem Browser, verhält sich inkonsistent über die Engines hinweg und kann - wenn Sie innerHTML auf einem DIV anstelle einer TextArea verwenden - tatsächlich Markup ausführen und Ihren Decoder in einen XSS-Vektor verwandeln. Diese Implementierung ist eine reine Zeichenfolgentransformation mit einer expliziten Entitätstabelle, daher läuft sie in Node-, Tauri- und Web-Workern und kann niemals etwas ausführen.

Ist ' sicher für einzelne Angebote zu verwenden?

Meistens mit einer Einschränkung: ' ist in XML und HTML5 vordefiniert, aber es war nie Teil von HTML 4.01, so dass alte Renderer und einige strenge E-Mail-Clients es nicht erkennen. Die numerische Form wird überall verstanden, weshalb dieses Tool beim Codieren einzelner Anführungszeichen bei der Dekodierung von '

Muss ich akzentuierte Zeichen wie é oder ü überhaupt codieren?

Nicht, wenn Ihr Dokument als UTF-8 mit der richtigen Zeichensatzdeklaration ausgeliefert wird - Literal é in der Quelle ist vollkommen gültig und lesbarer. Entitätscodierung Akzente, wenn Sie die Transportcodierung nicht steuern können: Legacy-Systeme, die Bytes vermangeln, E-Mail-Vorlagen, die über unbekannte Gateways gehen, oder Kopieren für ein CMS, das beim Speichern neu codiert wird. Im Zweifelsfall schützt der benannte Modus sie, ohne die Lesbarkeit zu beeinträchtigen.

Wie werden Emoji behandelt?

Emoji leben außerhalb der mehrsprachigen Ebene und Javascript speichert sie als Ersatzpaare. Naive Encoder pro Code-Einheit geben zwei defekte Referenzen wie & # 55357; & # 56832 ; aus; Dieses Tool iteriert nach Codepunkt, also 😀 als einzelne gültige Referenz & # 128512; und Dekodieren einer Referenz über U + FFFFF rekonstruiert das Paar korrekt über string.FromCodePoint.

Was macht und wann sollte ich es verwenden?

Es ist ein nicht unterbrochener Speicherplatz (U + 00A0): Es wird wie ein normaler Speicherplatz dargestellt, aber der Browser wickelt die Linie nicht um, und aufeinanderfolgende sind nicht zusammengebrochen. Verwenden Sie es, um Paare zusammenzuhalten - 10 & nbsp; KG, Abb. 3, einen Namen und seine Initiale. Verwenden Sie keine Läufe für den Layout-Abstand; dafür sind CSS-Margin und Padding gedacht, und Bildschirmleser kündigen die zusätzlichen Zeichen an.

Wie dekodiere ich HTML-Entitäten in Javascript oder Python?

In Python wird die Standardbibliothek abgedeckt: HTML.UNESCAPE(S) löst Namen, Dezimal- und Hex-Referenzen auf. Verwenden Sie im Knoten eine Bibliothek wie HE (he.decode(s)) oder Entitäten. Vermeiden Sie im Browser den innerHTML-Trick auf einem Div - es kann Markup ausführen; wenn Sie das DOM verwenden, in einen TextArea-Wert analysieren oder stattdessen DompParser verwenden müssen.

Schützen die Codierungseinheiten auch vor SQL-Injection?

kein . Die HTML-Entitätscodierung wird für einen bestimmten Kontext ausgegeben: HTML-Dokumente. Die SQL-Injektion wird durch parametrisierte Abfragen, URL-Injektion mit Prozent-Codierung und Shell-Injektion mit korrektem Argumentieren verhindert. Das Codieren von Benutzereingaben in Entitäten vor dem Speichern in einer Datenbank ist tatsächlich ein Anti-Pattern - Speichern Sie Rohtext und Escape zum Render-Zeitpunkt für den Kontext, in dem Sie rendern.

HTML-Entitäts-Encoder/-Decoder

Q: Warum sehe ich < statt < in meiner Ausgabe?

Das ist doppelte Codierung: Die Zeichenfolge wurde zweimal entkommen, so dass das & von & lt; wieder in & amp; Dies geschieht normalerweise, wenn sowohl Ihre Vorlage als auch Ihr eigener Code denselben Wert entgehen oder bereits codierte Inhalte in einer Datenbank gespeichert und beim Rendern erneut geflohen werden. Dekodieren Sie zweimal mit der Schaltfläche „Austausch“, um das Original wiederherzustellen, und stellen Sie dann sicher, dass das Entweichen genau einmal erfolgt - zur Ausgabezeit, nicht zur Speicherzeit.

Q: Warum verwendet dieses Tool nicht document.createElement zum Dekodieren?

Der übliche TextArea/InnerHTML-Trick funktioniert nur in einem Browser, verhält sich inkonsistent über die Engines hinweg und kann - wenn Sie innerHTML auf einem DIV anstelle einer TextArea verwenden - tatsächlich Markup ausführen und Ihren Decoder in einen XSS-Vektor verwandeln. Diese Implementierung ist eine reine Zeichenfolgentransformation mit einer expliziten Entitätstabelle, daher läuft sie in Node-, Tauri- und Web-Workern und kann niemals etwas ausführen.

Q: Ist ' sicher für einzelne Angebote zu verwenden?

Meistens mit einer Einschränkung: ' ist in XML und HTML5 vordefiniert, aber es war nie Teil von HTML 4.01, so dass alte Renderer und einige strenge E-Mail-Clients es nicht erkennen. Die numerische Form wird überall verstanden, weshalb dieses Tool beim Codieren einzelner Anführungszeichen bei der Dekodierung von '

Q: Muss ich akzentuierte Zeichen wie é oder ü überhaupt codieren?

Nicht, wenn Ihr Dokument als UTF-8 mit der richtigen Zeichensatzdeklaration ausgeliefert wird - Literal é in der Quelle ist vollkommen gültig und lesbarer. Entitätscodierung Akzente, wenn Sie die Transportcodierung nicht steuern können: Legacy-Systeme, die Bytes vermangeln, E-Mail-Vorlagen, die über unbekannte Gateways gehen, oder Kopieren für ein CMS, das beim Speichern neu codiert wird. Im Zweifelsfall schützt der benannte Modus sie, ohne die Lesbarkeit zu beeinträchtigen.

Q: Wie werden Emoji behandelt?

Emoji leben außerhalb der mehrsprachigen Ebene und Javascript speichert sie als Ersatzpaare. Naive Encoder pro Code-Einheit geben zwei defekte Referenzen wie & # 55357; & # 56832 ; aus; Dieses Tool iteriert nach Codepunkt, also 😀 als einzelne gültige Referenz & # 128512; und Dekodieren einer Referenz über U + FFFFF rekonstruiert das Paar korrekt über string.FromCodePoint.

Q: Was macht und wann sollte ich es verwenden?

Es ist ein nicht unterbrochener Speicherplatz (U + 00A0): Es wird wie ein normaler Speicherplatz dargestellt, aber der Browser wickelt die Linie nicht um, und aufeinanderfolgende sind nicht zusammengebrochen. Verwenden Sie es, um Paare zusammenzuhalten - 10 & nbsp; KG, Abb. 3, einen Namen und seine Initiale. Verwenden Sie keine Läufe für den Layout-Abstand; dafür sind CSS-Margin und Padding gedacht, und Bildschirmleser kündigen die zusätzlichen Zeichen an.

HTML-Entitäten codieren und dekodieren - als (&), dezimale (&) und Hex-(&)-Formulare mit XSS-Safe-Spezialzeichen

Mode:

Input0 characters

Output

0 characters

Output will appear here...

Category:encoding

Mode:Offline

Version:1.0.0

Access:Free

Was ist HTML-Entitäts-Encoder / -decoder?

HTML Entity Encoder/Decoder interface on Toolz.dev - Encode and decode HTML entities - named (&), decimal (&), and hex (&) forms, with XSS-safe special-character escaping

HTML-Entitäts-Encoder/-Decoder konvertiert Zeichen, die in HTML eine besondere Bedeutung haben, in sichere Entitätsreferenzen und verwandelt Entitäten aus jeder Quelle wieder in lesbaren Text. In HTML startet < ein Tag und & startet eine Entität. Wenn also der von Benutzern generierte Inhalt, der <script> enthält, nicht entweicht, führt der Browser es aus. Die kanonischen Verteidigung gegen reflektierte und gespeicherte XSS-Zeichen ist, diese Zeichen als <script> zu entkommen, und dieses Tool führt genau diese Transformation mit der empfohlenen Mindestmenge von OWASP durch: & < > " und dem einfachen Zitat aus.

Das Tool unterstützt drei Codierungsstrategien, da unterschiedliche Kontexte unterschiedliche Ausgaben benötigen. Der Named Mode verwendet eine integrierte Karte von über 100 einprägsamen Entitäten - © für ©, é für é, — für -, … für … - mit einem automatischen numerischen Fallback (&ltnnn;) für jeden Charakter ohne gebräuchliche Namen, einschließlich Emoji. Der numerische Modus codiert alles als dezimale Zeichenreferenzen, was Sie für XML- oder RSS-Feeds wünschen, bei denen nur fünf benannte Entitäten (< > & amp; & apos;) definiert sind und den Parser brechen würden. Der Sondermodus entgeht nur den fünf XSS-kritischen Zeichen, sodass akzentuierter Text und Typografie in Ihrer Quelle lesbar sind - der Modus, den die meisten Vorlagen-Engines standardmäßig verwenden.

Der Decoder ist ebenso gründlich: Er behandelt benannte Entitäten, Dezimalreferenzen wie & # 233;, und hexadezimale Referenzen wie "é" - Alle drei Formulare, die Sie in Scraped-Seiten, CMS-Exporten und E-Mail-HTML gemischt finden. Alles ist in reinem TypeScript ohne DOM-Tricks (kein Hidden TextArea Hack, No Document.CreateElement) implementiert, was bedeutet, dass die Ergebnisse deterministisch sind und die gleiche Logik in Ihrem Browser, der Desktop-App und auf dem Server identisch läuft. Ihre Inhalte verlassen Ihre Maschine nie - 100% clientseitige Verarbeitung, sicher für proprietäre Kopien und Benutzerdaten.

Wie verwende ich den HTML-Entitäts-Encoder / -decoder?

Fügen Sie Ihren Text oder HTML ein

Geben Sie den Rohtext ein, den Sie benötigen, um HTML-sicher zu machen (Benutzereingabe, Marketingkopie mit © und ™, Code-Snippets, die für einen <pre>-Block bestimmt sind) oder einfügen-mit-durchgesetztes HTML wie <div class="Card">, das Sie als Klartext lesen möchten.

Wählen Sie einen Codierungsmodus

Benannt nach menschenlesbarer Ausgabe (©, & eacute;), numerisch für XML/RSS-sichere Dezimalreferenzen (& # 169;, & # 233;) oder nur Special-only to entcaesen - das Minimum, das erforderlich ist, um XSS zu verhindern, während der Rest des Textes lesbar bleibt.

Kodieren oder dekodieren

Klicken Sie auf Encode, um Zeichen in Entitäten zu konvertieren, oder um die Namensauflösung von Namen, Dezimal- (& # 123;) und Hex- (& # x1f;)-Verweisen auf Zeichen aufzulösen. Die Anzahl der Live-Zeichen zeigt an, wie sehr die Entitätserweiterung Ihre Zeichenfolge gewachsen ist.

Kopieren oder tauschen Sie

Kopieren Sie das Ergebnis in Ihre Zwischenablage oder klicken Sie auf "Austausch", um die Ausgabe als Eingabe zurückzuleiten - nützlich zum Ablösen von doppelt codierten Zeichenfolgen wie " & amp; lt;; die durch zwei entweichende Schichten durchlaufen wurden.

Hauptmerkmale

100 benannte Entitäten

Eingebaute Karte mit XSS-Zeichen, Typografie (— … Smart Quotes), Währung (€ £), Mathematiksymbole, griechische Buchstaben und das vollständige lateinamerikanische Alphabet

Drei Codierungsmodi

Benannt nach Lesbarkeit, Numerisch für XML/RSS-Kompatibilität, Sonder-Nur für minimales XSS-sicheres Escapeing - Pick per Kontext anstelle von Einheitsgröße

Dekodiert alle drei Entitätsformen

Benannte (&), dezimale (&) und hexadezimale (&) Referenzen werden alle erkannt, auch wenn sie im selben Dokument gemischt werden

Reines Typoskript, kein DOM

Keine Hidden-Element-Browser-Hacks - Deterministische Logik, die sich in Web-, Desktop- und Serverumgebungen identisch verhält

Frequently Asked Questions

Zumindest: & <> "und das einzelne Zitat - das ist die von OWASP empfohlene Menge für HTML-Körper- und Attributkontexte und genau das, was der Sondermodus codiert. Das kaufmännische und muss zuerst entkommen (oder atomar behandelt werden, wie es dieses Tool tut) oder Sie werden bereits codierte Entitäten beschädigen. Beachten Sie, dass Entity-Codierung nur HTML-Kontexte schützt: Das Einfügen von Benutzerdaten in <script> Blöcke, URLs oder CSS erfordert ein anderes, kontextspezifisches ESCAPE.

Related Tools

CCE

encoding

Caesar Cipher Encoder & Decoder

Encode and decode Caesar cipher text with any shift, plus ROT13 and ROT47. Brute-force all 25 shifts to crack an unknown key.

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

Command Palette

HTML-Entitäts-Encoder/-Decoder

Was ist HTML-Entitäts-Encoder / -decoder?

Wie verwende ich den HTML-Entitäts-Encoder / -decoder?

Fügen Sie Ihren Text oder HTML ein

Wählen Sie einen Codierungsmodus

Kodieren oder dekodieren

Kopieren oder tauschen Sie

Hauptmerkmale

100 benannte Entitäten

Drei Codierungsmodi

Dekodiert alle drei Entitätsformen

Reines Typoskript, kein DOM

Frequently Asked Questions

Related Tools

Caesar Cipher Encoder & Decoder

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

Comments