Dois-je utiliser des entités nommées ou numériques ?

Les entités nommées (&copier;, é) sont auto-documentées et plus faciles à revoir dans le code source, alors préférez-les pour le HTML entretenu à la main. Les références numériques (&#169 ;) fonctionnent partout - y compris XML, RSS et SVG, où le HTML nommé n'est pas défini - préférez donc le numérique lorsque votre sortie alimente quelque chose de plus strict qu'un navigateur. Si vos pages sont diffusées en UTF-8 (elles devraient l'être), vous pouvez également utiliser les caractères littéraux et échapper uniquement aux cinq promotions.

Pourquoi est-ce que "racifie mon flux XML ou RSS ?

XML ne prédéfinit que cinq entités : &lt ; &gt ; " et &apos ;. Tous les autres noms HTML - , ©, — - n'est pas défini dans XML, donc un analyseur conformant lance une erreur "entité non définie" dès qu'il en a une. Encodez avec le mode numérique à la place : " est le même espace non-cassin) et est valide en HTML et en XML.

Quelle est la différence entre é et é?

Rien d'autre que la base numérique - les deux sont des références de caractères pour é (U+00E9). é utilise décimal, é utilise hexadécimal (le préfixe X, insensible à la casse). Hex Form s'apparente directement à la notation ponctuelle de code Unicode, raison pour laquelle l'outillage l'émet souvent ; les navigateurs traitent les deux de manière identique. Le décodeur accepte les deux.

Pourquoi est-ce que je vois < au lieu de < dans ma sortie ?

C'est un double encodage : la chaîne a été échappée deux fois, de sorte que &lt ; a été rééchelé dans &. Cela se produit généralement lorsque votre moteur de modèle et votre propre code échappent à la même valeur, ou lorsque du contenu déjà codé est enregistré dans une base de données et échappé à nouveau sur le rendu. Décodez deux fois avec le bouton d'échange pour récupérer l'original, puis assurez-vous que l'échappement se produit exactement une fois - au moment de la sortie, et non à l'heure du stockage.

Pourquoi cet outil n'utilise-t-il pas document.createElement pour décoder ?

L'astuce commune de TextArea/InnerHTML ne fonctionne que dans un navigateur, se comporte de manière incohérente entre les moteurs et - si vous utilisez InnerHTML sur un DIV plutôt qu'une zone de texte - peut en fait exécuter un balisage, transformant votre décodeur en un vecteur XSS. Cette implémentation est une transformation de chaîne pure avec une table d'entités explicites, elle s'exécute donc dans Node, Tauri et Web Workers, et ne peut jamais exécuter quoi que ce soit.

Est-ce que vous pouvez utiliser de manière sécuritaire pour les devis uniques ?

La plupart du temps, avec une mise en garde : ' est prédéfini en XML et HTML5, mais cela ne faisait jamais partie de HTML 4.01, donc les rendus anciens et certains clients de messagerie stricts ne le reconnaissent pas. La forme numérique ''est comprise partout', c'est pourquoi cet outil émet "lorsque le codage de guillemets uniques tout en acceptant le décodage.

Dois-je encoder des caractères accentués comme é ou ü ?

Pas si votre document est délivré en tant que UTF-8 avec la déclaration de caractères correcte - littéral é dans la source est parfaitement valide et lisible. Accents d'entité-encodage lorsque vous ne pouvez pas contrôler l'encodage de transport : systèmes hérités qui mutilent, modèles d'e-mails passant par des passerelles inconnues ou copies destinées à un CMS qui ré-encode lors de la sauvegarde. En cas de doute, le mode nommé les garde en sécurité sans nuire à la lisibilité.

Comment les emoji sont-ils gérés ?

Les emoji vivent en dehors du plan multilingue de base et JavaScript les stocke sous forme de paires de substitution. Les encodeurs naïfs par unité par code émettent deux références interrompues comme &#55357;&#56832;. Cet outil itère par point de code, donc 😀 encode comme la référence unique valide 😀, et le décodage d'une référence au-dessus de U+FFFF reconstruit correctement la paire via String.FromCodePoint.

Que fait et quand dois-je l'utiliser?

C'est un espace non-rupture (U+00A0) : il s'affiche comme un espace normal, mais le navigateur ne s'enroule pas sur la ligne et les consécutifs ne sont pas effondrés. Utilisez-le pour garder les paires ensemble - 10 kg, fig. 3, un nom et son initial. N'utilisez pas les exécutions pour l'espacement de la mise en page, c'est à cela que servent la marge et le remplissage CSS, et les lecteurs d'écran annoncent les caractères supplémentaires.

Comment décoder les entités HTML en JavaScript ou Python ?

En Python, la bibliothèque standard la couvre : html.unescape(s) résout les références nommées, décimales et hexadécimales. Dans Node, utilisez une bibliothèque telle que He (He.Decod(s)) ou des entités. Dans le navigateur, évitez l'astuce InnerHTML sur un div - il peut exécuter un balisage ; si vous devez utiliser le DOM, analyser une valeur dans une zone de texte ou utiliser DOMParser à la place.

Les entités d'encodage protègent-elles également contre l'injection SQL ?

non Le codage des entités HTML est un échappement à sortie pour un contexte spécifique : les documents HTML. L'injection SQL est empêchée avec des requêtes paramétrées, une injection d'URL avec un pourcentage d'encodage et une injection de shell avec un passage d'argument approprié. Encodage des entrées d'utilisateurs dans les entités avant de les stocker dans une base de données est en fait un anti-modèle - stocker du texte brut et s'échapper au moment du rendu pour le contexte dans lequel vous rendez.

Encodeur/décodeur d'entité HTML

Q: Pourquoi est-ce que je vois < au lieu de < dans ma sortie ?

C'est un double encodage : la chaîne a été échappée deux fois, de sorte que &lt ; a été rééchelé dans &. Cela se produit généralement lorsque votre moteur de modèle et votre propre code échappent à la même valeur, ou lorsque du contenu déjà codé est enregistré dans une base de données et échappé à nouveau sur le rendu. Décodez deux fois avec le bouton d'échange pour récupérer l'original, puis assurez-vous que l'échappement se produit exactement une fois - au moment de la sortie, et non à l'heure du stockage.

Q: Pourquoi cet outil n'utilise-t-il pas document.createElement pour décoder ?

L'astuce commune de TextArea/InnerHTML ne fonctionne que dans un navigateur, se comporte de manière incohérente entre les moteurs et - si vous utilisez InnerHTML sur un DIV plutôt qu'une zone de texte - peut en fait exécuter un balisage, transformant votre décodeur en un vecteur XSS. Cette implémentation est une transformation de chaîne pure avec une table d'entités explicites, elle s'exécute donc dans Node, Tauri et Web Workers, et ne peut jamais exécuter quoi que ce soit.

Q: Est-ce que vous pouvez utiliser de manière sécuritaire pour les devis uniques ?

La plupart du temps, avec une mise en garde : ' est prédéfini en XML et HTML5, mais cela ne faisait jamais partie de HTML 4.01, donc les rendus anciens et certains clients de messagerie stricts ne le reconnaissent pas. La forme numérique ''est comprise partout', c'est pourquoi cet outil émet "lorsque le codage de guillemets uniques tout en acceptant le décodage.

Q: Dois-je encoder des caractères accentués comme é ou ü ?

Pas si votre document est délivré en tant que UTF-8 avec la déclaration de caractères correcte - littéral é dans la source est parfaitement valide et lisible. Accents d'entité-encodage lorsque vous ne pouvez pas contrôler l'encodage de transport : systèmes hérités qui mutilent, modèles d'e-mails passant par des passerelles inconnues ou copies destinées à un CMS qui ré-encode lors de la sauvegarde. En cas de doute, le mode nommé les garde en sécurité sans nuire à la lisibilité.

Q: Comment les emoji sont-ils gérés ?

Les emoji vivent en dehors du plan multilingue de base et JavaScript les stocke sous forme de paires de substitution. Les encodeurs naïfs par unité par code émettent deux références interrompues comme &#55357;&#56832;. Cet outil itère par point de code, donc 😀 encode comme la référence unique valide 😀, et le décodage d'une référence au-dessus de U+FFFF reconstruit correctement la paire via String.FromCodePoint.

Q: Que fait et quand dois-je l'utiliser?

C'est un espace non-rupture (U+00A0) : il s'affiche comme un espace normal, mais le navigateur ne s'enroule pas sur la ligne et les consécutifs ne sont pas effondrés. Utilisez-le pour garder les paires ensemble - 10 kg, fig. 3, un nom et son initial. N'utilisez pas les exécutions pour l'espacement de la mise en page, c'est à cela que servent la marge et le remplissage CSS, et les lecteurs d'écran annoncent les caractères supplémentaires.

Encoder et décoder les entités HTML - nommés (&), décimaux (&) et hexadécimal (&), avec des caractères de caractères spéciaux XSS-Safe

Mode:

Input0 characters

Output

0 characters

Output will appear here...

Category:encoding

Mode:Offline

Version:1.0.0

Access:Free

Qu'est-ce que l'encodeur/décodeur d'entité HTML ?

HTML Entity Encoder/Decoder interface on Toolz.dev - Encode and decode HTML entities - named (&), decimal (&), and hex (&) forms, with XSS-safe special-character escaping

Encoder/décodeur d'entité HTML convertit les caractères qui ont une signification particulière en HTML en références d'entités sécurisées et transforme les entités de n'importe quelle source en texte lisible. En HTML, < démarre une balise et démarre une entité - donc si le contenu généré par l'utilisateur contenant <script> atterrit dans votre balise, non échappé, le navigateur l'exécute. Echapper à ces caractères comme <script> est la défense canonique contre les XSS réfléchis et stockés, et cet outil effectue exactement cette transformation en utilisant le minimum recommandé par OWASP : & < > " et le devis unique.

L'outil prend en charge trois stratégies d'encodage car différents contextes nécessitent des résultats différents. Nommé mode utilise une carte intégrée de plus de 100 entités mémorables - &copier; pour ©, é pour é, — - , … pour ... - avec un repli numérique automatique (#nnnn;) pour un caractère sans nom commun, y compris emoji. Le mode numérique encode tout comme des références de caractères décimaux, ce que vous voulez pour les flux XML ou RSS où seules cinq entités nommées (< > ') sont définies et "nbsp" casseraient l'analyseur. Le mode spécial uniquement échappe aux cinq caractères critiques XSS, laissant le texte accentué et la typographie lisible dans votre source - le mode que la plupart des moteurs de modèles utilisent par défaut.

Le décodeur est tout aussi approfondi : il gère les entités nommées, les références décimales telles que é, et les références hexadécimales telles que é - les trois formulaires que vous trouverez mélangés dans les pages grattées, les exportations de CMS et les e-mails. Tout est implémenté dans Pure Typescript sans astuces DOM (pas de piratage de TextArea caché, pas de document.createElement), ce qui signifie que les résultats sont déterministes et que la même logique fonctionne de manière identique dans votre navigateur, l'application de bureau et sur le serveur. Votre contenu ne quitte jamais votre machine - traitement 100 % côté client, sûr pour la copie propriétaire et les données utilisateur.

Comment utiliser l'encodeur/décodeur d'entité HTML ?

Collez votre texte ou HTML

Entrez du texte brut, vous devez rendre HTML-SAFE (entrée utilisateur, copie marketing avec © et ™, codes extraits destinés à un bloc <pre>) ou coller du code HTML agité comme <div class="card"> que vous souhaitez lire en texte brut.

Choisissez un mode d'encodage

Nommé pour la sortie lisible par l'homme (&copie;, é), numérique pour les références décimales XML/RSS-safe (©, é), ou Special-Ounly pour échapper juste à & < > " ' - le minimum requis pour empêcher XSS tout en gardant le reste du texte lisible.

Encoder ou décoder

Cliquez sur Encoder pour convertir des caractères en entités, ou décoder pour résoudre les références nommées, décimales ({) et hexadécimales (). Le nombre de caractères en direct montre à quel point l'extension de l'entité a augmenté votre chaîne.

Copier ou échanger

Copiez le résultat dans votre presse-papiers ou appuyez sur Swap pour ramener la sortie en entrée - utile pour décoller les chaînes à double encodage comme &lt; qui ont traversé deux couches de fuite.

Principales caractéristiques

100+ entités nommées

Carte intégrée couvrant les caractères XSS, la typographie (— … Smart Quotes), la devise (£), les symboles mathématiques, les lettres grecques et l'alphabet complet latin-1

Trois modes d'encodage

Nommé pour la lisibilité, numérique pour la compatibilité XML/RSS, uniquement pour une évasion minimale de sécurité XSS - sélection par contexte au lieu de taille unique

Décode les trois formulaires d'entité

Les références nommées (&), décimales (&) et hexadécimales (&#x26); sont toutes reconnues, même si elles sont mélangées dans le même document.

Type de script pur, pas de DOM

Aucun hacks de navigateurs à éléments cachés - une logique déterministe qui se comporte de la même manière dans les environnements Web, de bureau et de serveur

Frequently Asked Questions

Au minimum : & < > " et le devis unique - c'est-à-dire l'ensemble recommandé par OWASP pour les contextes de corps et d'attributs HTML, et exactement ce que le mode Special-Only encode. L'esperluette doit être échappée en premier (ou traitée de manière atomique, comme le fait cet outil) ou vous allez corrompre des entités déjà codées. Notez que l'encodage d'entités protège uniquement les contextes HTML, l'injection de données utilisateur dans des blocs <script>, des URL ou des CSS nécessite une évasion différente, spécifique au contexte.

Related Tools

CCE

encoding

Caesar Cipher Encoder & Decoder

Encode and decode Caesar cipher text with any shift, plus ROT13 and ROT47. Brute-force all 25 shifts to crack an unknown key.

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

Command Palette

Encodeur/décodeur d'entité HTML

Qu'est-ce que l'encodeur/décodeur d'entité HTML ?

Comment utiliser l'encodeur/décodeur d'entité HTML ?

Collez votre texte ou HTML

Choisissez un mode d'encodage

Encoder ou décoder

Copier ou échanger

Principales caractéristiques

100+ entités nommées

Trois modes d'encodage

Décode les trois formulaires d'entité

Type de script pur, pas de DOM

Frequently Asked Questions

Related Tools

Caesar Cipher Encoder & Decoder

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

Comments