Devo usare entità denominate o numeriche?

Le entità denominate (©, é) sono auto-documentanti e più facili da rivedere nel codice sorgente, quindi le preferisci per l'HTML manuale. I riferimenti numerici (©) funzionano ovunque, inclusi XML, RSS e SVG, in cui il set denominato HTML non è definito, quindi preferisci numerico quando l'output alimenta qualcosa di più rigoroso di un browser. Se le tue pagine sono servite come UTF-8 (dovrebbero esserlo), puoi anche usare i caratteri letterali e sfuggire solo ai cinque speciali.

Perché rompe il mio feed XML o RSS?

XML predefinisce solo cinque entità: & < > " '. Ogni altro nome HTML - , ©, — - non è definito in XML, quindi un parser conforme genera un errore "Entità non definita" nel momento in cui ne colpisce uno. Encodi con modalità numerica invece: è lo stesso spazio non di rottura ed è valido sia in HTML che in XML.

Qual è la differenza tra é e é?

Nient'altro che la base numerica - entrambi sono riferimenti di caratteri per é (u+00e9). é usa decimale, é usa esadecimale (il prefisso X, insensibile al maiuscolo). Il modulo esadecimale si associa direttamente alla notazione del punto di codice Unicode, motivo per cui spesso la emette l'attrezzo; i browser trattano i due in modo identico. Il decoder qui accetta entrambi.

Perché vedo < invece di < nella mia uscita?

Questa è una doppia codifica: la corda è stata evasa due volte, quindi il & di < è stato riescampato in &. In genere accade quando sia il motore di modelli che il tuo codice escono dallo stesso valore o quando il contenuto già codificato viene salvato in un database e viene nuovamente evaso durante il rendering. Decodifica due volte con il pulsante di scambio per recuperare l'originale, quindi assicurati che l'escape avvenga esattamente una volta, al momento dell'uscita, non al momento della conservazione.

Perché questo strumento non utilizza document.createelement per decodificare?

Il trucco Common TextArea/InnerHTML funziona solo in un browser, si comporta in modo incoerente tra i motori e, se usi InnerHTML su un div piuttosto che in un'area di testo, puoi effettivamente eseguire il markup, trasformando il tuo decoder in un vettore XSS. Questa implementazione è una trasformazione di pura stringa con una tabella di entità esplicita, quindi viene eseguita in nodo, tauri e web worker e non può mai eseguire nulla.

è sicuro da usare per le virgolette singole?

Per lo più, con un avvertimento: ' è predefinito in XML e HTML5, ma non faceva mai parte di HTML 4.01, quindi i renderer antichi e alcuni client di posta elettronica rigorosi non lo riconoscono. La forma numerica ' è intesa ovunque, per questo lo strumento emette ' quando si codificano le virgolette pur accettando la decodifica.

Devo codificare caratteri accentati come é o ü?

Non se il tuo documento è servito come UTF-8 con la corretta dichiarazione di charset - letterale é nella fonte è perfettamente valido e più leggibile. Accenti di entità-encode Quando non è possibile controllare la codifica di trasporto: sistemi legacy che gestiscono byte, modelli di e-mail che passano attraverso gateway sconosciuti o copia destinati a un CMS che ricodifica al salvataggio. In caso di dubbio, la modalità Named li mantiene al sicuro senza danneggiare molto la leggibilità.

Come vengono gestite le emoji?

Le emoji vivono al di fuori del piano multilingue di base e JavaScript le memorizza come coppie surrogate. Gli encoder ingenui per unità per codice emettono due riferimenti interrotti come &#55357;&#56832;. Questo strumento itera per punto di codice, quindi 😀 codifica come unico riferimento valido 😀 e la decodifica di un riferimento sopra U+FFFF ricostruisce correttamente la coppia tramite string.fromcodepoint.

Cosa fa e quando dovrei usarlo?

È uno spazio non di rottura (U+00A0): rende il rendering come uno spazio normale ma il browser non avvolgerà la linea e quelli consecutivi non vengono compressi. Usalo per tenere insieme le coppie - 10 kg, fig. 3, un nome e la sua iniziale. Non utilizzare le esecuzioni per la spaziatura del layout; questo è ciò a cui servono i margini e i riempimenti CSS e gli screen reader annunciano i caratteri extra.

Come faccio a decodificare le entità HTML in JavaScript o Python?

In Python la libreria standard lo copre: HTML.UNESCAPE(s) risolve i riferimenti denominati, decimali e esadecimali. In Node, usa una libreria come HE (He.Decode(s)) o entità. Nel browser, evita il trucco InnerHTML su un div: può eseguire il markup; se devi usare il DOM, analizzare un valore di textArea o utilizzare invece Domparser.

Le entità di codifica proteggono anche dall'iniezione SQL?

no La codifica dell'entità HTML è l'output in uscita per un contesto specifico: documenti HTML. L'iniezione SQL viene impedita con query parametrizzate, iniezione URL con codifica percentuale e iniezione di shell con il passaggio di argomenti adeguato. La codifica dell'input dell'utente in entità prima di archiviarlo in un database è in realtà un anti-pattern - memorizza il testo grezzo e l'escape al momento del rendering per qualsiasi contesto in cui stai eseguendo il rendering.

Encoder/decoder di entità HTML

Q: Perché vedo &lt; invece di < nella mia uscita?

Questa è una doppia codifica: la corda è stata evasa due volte, quindi il & di < è stato riescampato in &. In genere accade quando sia il motore di modelli che il tuo codice escono dallo stesso valore o quando il contenuto già codificato viene salvato in un database e viene nuovamente evaso durante il rendering. Decodifica due volte con il pulsante di scambio per recuperare l'originale, quindi assicurati che l'escape avvenga esattamente una volta, al momento dell'uscita, non al momento della conservazione.

Q: Perché questo strumento non utilizza document.createelement per decodificare?

Il trucco Common TextArea/InnerHTML funziona solo in un browser, si comporta in modo incoerente tra i motori e, se usi InnerHTML su un div piuttosto che in un'area di testo, puoi effettivamente eseguire il markup, trasformando il tuo decoder in un vettore XSS. Questa implementazione è una trasformazione di pura stringa con una tabella di entità esplicita, quindi viene eseguita in nodo, tauri e web worker e non può mai eseguire nulla.

Q: è sicuro da usare per le virgolette singole?

Per lo più, con un avvertimento: ' è predefinito in XML e HTML5, ma non faceva mai parte di HTML 4.01, quindi i renderer antichi e alcuni client di posta elettronica rigorosi non lo riconoscono. La forma numerica ' è intesa ovunque, per questo lo strumento emette ' quando si codificano le virgolette pur accettando la decodifica.

Q: Devo codificare caratteri accentati come é o ü?

Non se il tuo documento è servito come UTF-8 con la corretta dichiarazione di charset - letterale é nella fonte è perfettamente valido e più leggibile. Accenti di entità-encode Quando non è possibile controllare la codifica di trasporto: sistemi legacy che gestiscono byte, modelli di e-mail che passano attraverso gateway sconosciuti o copia destinati a un CMS che ricodifica al salvataggio. In caso di dubbio, la modalità Named li mantiene al sicuro senza danneggiare molto la leggibilità.

Q: Come vengono gestite le emoji?

Le emoji vivono al di fuori del piano multilingue di base e JavaScript le memorizza come coppie surrogate. Gli encoder ingenui per unità per codice emettono due riferimenti interrotti come &#55357;&#56832;. Questo strumento itera per punto di codice, quindi 😀 codifica come unico riferimento valido 😀 e la decodifica di un riferimento sopra U+FFFF ricostruisce correttamente la coppia tramite string.fromcodepoint.

Q: Cosa fa e quando dovrei usarlo?

È uno spazio non di rottura (U+00A0): rende il rendering come uno spazio normale ma il browser non avvolgerà la linea e quelli consecutivi non vengono compressi. Usalo per tenere insieme le coppie - 10 kg, fig. 3, un nome e la sua iniziale. Non utilizzare le esecuzioni per la spaziatura del layout; questo è ciò a cui servono i margini e i riempimenti CSS e gli screen reader annunciano i caratteri extra.

Codifica e decodifica entità HTML - denominati (&), decimali (&) e moduli esadecimali (&) con escape di caratteri speciali XSS-SAFE

Mode:

Input0 characters

Output

0 characters

Output will appear here...

Category:encoding

Mode:Offline

Version:1.0.0

Access:Free

Che cos'è l'encoder/decoder di entità HTML?

HTML Entity Encoder/Decoder interface on Toolz.dev - Encode and decode HTML entities - named (&), decimal (&), and hex (&) forms, with XSS-safe special-character escaping

Encoder/decoder di entità HTML Converte i caratteri che hanno un significato speciale in HTML in riferimenti di entità sicuri e trasformano le entità da qualsiasi origine in testo leggibile. In HTML, < avvia un tag e & avvia un'entità, quindi se il contenuto generato dall'utente contenente <script> arriva nel markup senza evasione, il browser lo esegue. Fuggendo da quei caratteri come <script> è la difesa canonica contro XSS riflessa e memorizzata, e questo strumento esegue esattamente quella trasformazione utilizzando il set minimo consigliato da OWASp: & < > " e la singola virgoletta.

Lo strumento supporta tre strategie di codifica perché contesti diversi richiedono output diversi. La modalità Named utilizza una mappa incorporata di oltre 100 entità memorabili - © per ©, é per é, — for - , … per … - con un fallback numerico automatico (#nnnn;) per qualsiasi carattere senza un nome comune, incluso emoji. La modalità numerica codifica tutto come riferimenti ai caratteri decimali, che è ciò che desideri per i feed XML o RSS in cui solo cinque entità denominate (& < &t; " ') sono definite e   romperebbe il parser. La modalità solo speciale sfugge solo ai cinque caratteri critici XSS, lasciando il testo accentato e la tipografia leggibili nella tua sorgente, la modalità utilizzata dalla maggior parte dei motori di modelli per impostazione predefinita.

Il decoder è altrettanto completo: gestisce entità denominate, riferimenti decimali come é e riferimenti esadecimali come é - tutti e tre i moduli che troverai mescolati insieme in pagine raschiate, esportazioni CMS e html e-mail. Tutto è implementato in puro dattiloscritto senza trucchi DOM (nessun hack di textarea nascosta, nessun documento.createelement), il che significa che i risultati sono deterministici e la stessa logica viene eseguita in modo identico nel tuo browser, nell'app desktop e sul server. I tuoi contenuti non lasciano mai la tua macchina - elaborazione al 100% lato client, sicura sia per la copia proprietaria che per i dati utente.

Come utilizzare il codificatore/decoder di entità HTML?

Incolla il tuo testo o HTML

Inserisci il testo grezzo per rendere sicuro HTML (input dell'utente, copia di marketing con © e ™, frammenti di codice destinati a un blocco <pre>) o incolla HTML crivellato di entità come <div class="carta"> che vuoi leggere come testo normale.

Scegli una modalità di codifica

Prende il nome per l'output leggibile dall'uomo (&copia;, é), numerico per i riferimenti decimali XML/RSS-SAFE (©, é) o solo speciale per sfuggire a Just & < > " ' - il minimo richiesto per impedire XSS mantenendo il resto del testo leggibile.

codificare o decodificare

Fare clic su codifica per convertire i caratteri in entità o decodificare per risolvere i riferimenti denominati, decimali ({) e esadecimali () in caratteri. Il conteggio dei caratteri live mostra quanto l'espansione dell'entità ha aumentato la tua stringa.

Copia o scambia

Copia il risultato negli appunti o premi SWAP per rimandare l'output come input, utile per sbucciare le stringhe a doppia codifica come &amp;lt; che ha attraversato due livelli di fuga.

Caratteristiche principali

100+ entità denominate

Mappa incorporata che copre i caratteri XSS, la tipografia (— … virgolette intelligenti), la valuta (€ £), i simboli matematici, le lettere greche e l'alfabeto completo accentato latino-1

Tre modalità di codifica

Prende il nome per la leggibilità, numerico per la compatibilità XML/RSS, solo speciale per una fuga minimalista XSS - Pick per contesto invece di una taglia unica

Decodifica tutti e tre i moduli di entità

I riferimenti denominati (&), decimali (&) ed esadecimali (&) sono tutti riconosciuti, anche se mescolati nello stesso documento

puro dattiloscritto, no dom

Nessun hack del browser ad elementi nascosti - logica deterministica che si comporta in modo identico in ambienti Web, desktop e server

Frequently Asked Questions

Al minimo: & < > " e la citazione singola - che è il set consigliato da OWASP per i contesti del corpo e degli attributi HTML, ed esattamente ciò che la modalità solo speciale codifica. La e commerciale deve essere prima evasa (o gestita atomicamente, come fa questo strumento) o corromperà entità già codificate. Si noti che la codifica delle entità protegge solo i contesti HTML; l'inserimento di dati utente in blocchi, URL o CSS <script> richiede un'evasione differente specifica del contesto.

Related Tools

CCE

encoding

Caesar Cipher Encoder & Decoder

Encode and decode Caesar cipher text with any shift, plus ROT13 and ROT47. Brute-force all 25 shifts to crack an unknown key.

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

Command Palette

Encoder/decoder di entità HTML

Che cos'è l'encoder/decoder di entità HTML?

Come utilizzare il codificatore/decoder di entità HTML?

Incolla il tuo testo o HTML

Scegli una modalità di codifica

codificare o decodificare

Copia o scambia

Caratteristiche principali

100+ entità denominate

Tre modalità di codifica

Decodifica tutti e tre i moduli di entità

puro dattiloscritto, no dom

Frequently Asked Questions

Related Tools

Caesar Cipher Encoder & Decoder

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

Comments