Должен ли я использовать именованные или числовые сущности?

Именованные сущности (©, é) являются самодокументируемыми и проще просматривать в исходном коде, поэтому предпочитают их для html hand-поддерживаемого. Цифровые ссылки (#169;) работают везде, включая XML, RSS и SVG, где не определен HTML-именованный набор, поэтому предпочитаем числовые, когда ваш вывод передает что-либо более строгое, чем браузер. Если ваши страницы обслуживаются как UTF-8 (они должны быть), вы также можете просто использовать буквальные символы и избежать только пяти специальных предложений.

Почему ломает мой xml или rss-канал?

XML предопределяет только пять сущностей: < > " и '. Каждое другое имя HTML - , ©, — - не определено в XML, поэтому соответствующий парсер выдает ошибку "неопределенная сущность" в тот момент, когда она попадает в одну из них. Вместо этого кодируйте в числовом режиме: это то же неразрывное пространство и действительна как в HTML, так и в XML.

В чем разница между é и é?

Ничего, кроме базы числа - оба являются ссылками на символы для É (U+00E9). é использует десятичную, &#E9; использует шестнадцатеричную (префикс X, нечувствительный к регистру). Шестименная форма сопоставляется непосредственно с нотацией кода Unicode, поэтому ее часто излучают инструменты; браузеры обрабатывают их одинаково. Декодер здесь принимает оба.

Почему я вижу, а не < в выходе?

Это двойное кодирование: строка была сброшена дважды, поэтому < была переснята в &. Обычно это происходит, когда и ваш движок шаблона, и ваш собственный код избегают одного и того же значения или когда уже закодированный контент сохраняется в базе данных и снова сбегает при рендеринге. Декодируйте дважды с помощью кнопки подкачки, чтобы восстановить оригинал, затем убедитесь, что бегство происходит ровно один раз - во время вывода, а не во время хранения.

Почему этот инструмент не использует Document.CreateElement для декодирования?

Общий трюк TextArea/InnerHTML работает только в браузере, ведет себя непоследовательно в разных движках, и — если вы используете innerHTML в div, а не в Textarea — действительно может выполнять разметку, превращая ваш декодер в вектор XSS. Эта реализация представляет собой чистое преобразование строк с явной таблицей сущностей, поэтому она работает в узле, таури и веб-работниках и никогда не может ничего выполнять.

Безопасно ли использовать кавычки?

В основном, с предостережением: ' предварительно определен в XML и HTML5, но он никогда не был частью HTML 4.01, поэтому древние рендереры и некоторые строгие почтовые клиенты его не распознают. Числовая форма ' понимается повсюду, поэтому этот инструмент излучает ' при кодировании одинарных кавычек при еще приёме при декодировании.

Нужно ли вообще кодировать символы с акцентом, такие как É или ü?

Нет, если ваш документ подается как UTF-8 с правильной декларацией кодировки — Litaler é в источнике совершенно действителен и более читабельен. ENGITAL-ENCODE ACCESS ENGINE ENCODENT INCENCED (ПРОГРАММА) Если вы не можете управлять кодировкой транспорта: устаревшие системы, которые извне байтов, шаблоны электронной почты, проходящие через неизвестные шлюзы, или копия предназначена для CMS, которая перекодирует при сохранении. Если вы сомневаетесь, именованный режим обеспечивает их безопасность, не сильно повредив читаемость.

Как обрабатываются эмодзи?

Эмодзи живут за пределами базового многоязычного плоскости, а JavaScript хранит их как суррогатные пары. Наивные кодировщики для каждого кода выдают две неработающие ссылки, такие как &#55357;&#56832;. Этот инструмент итерирует по кодовой точке, поэтому 😀 кодирует как единую допустимую ссылку 😀 и декодирование ссылки выше u+ffff правильно реконструирует пару через string.fromCodePoint.

Что делает и когда я должен его использовать?

Это неразрывное пространство (U+00A0): оно отображается как обычное пространство, но браузер не будет обматывать его строку, и последовательные не сворачиваются. Используйте его, чтобы держать пары вместе - 10 kg, рис. 3, имя и его инициал. Не используйте их для пробелов макета, для этого и предназначены CSS-сценарий, и читатели экрана объявляют дополнительные символы.

Как расшифровать сущности HTML в JavaScript или Python?

В Python стандартная библиотека покрывает его: html.unescape(s) разрешает именованные, десятичные и шестнадцатеричные ссылки. В узле используйте библиотеку, такую как He (He.decode(s)) или сущности. В браузере избегайте трюка innerHTML для div - он может выполнять разметку; если вы должны использовать DOM, разбирать в textarea значение или вместо этого использовать domparser.

Защищают ли объекты кодирования от SQL-инъекции?

нет .. Кодировка сущности HTML выводит выход из строя для одного конкретного контекста: HTML-документы. SQL-инъекцию предотвращается параметризованными запросами, инъекцией URL с кодировкой процента и инъекцией оболочки с правильным передачей аргументов. Кодировка ввода пользователя в сущности перед хранением в базе данных на самом деле является антипаттерном - сохраняет необработанный текст и убегает во время рендеринга для любого контекста, в который вы рендерите.

КО

Кодировщик/декодер сущности HTML

Q: Почему я вижу, а не < в выходе?

Это двойное кодирование: строка была сброшена дважды, поэтому < была переснята в &. Обычно это происходит, когда и ваш движок шаблона, и ваш собственный код избегают одного и того же значения или когда уже закодированный контент сохраняется в базе данных и снова сбегает при рендеринге. Декодируйте дважды с помощью кнопки подкачки, чтобы восстановить оригинал, затем убедитесь, что бегство происходит ровно один раз - во время вывода, а не во время хранения.

Q: Почему этот инструмент не использует Document.CreateElement для декодирования?

Общий трюк TextArea/InnerHTML работает только в браузере, ведет себя непоследовательно в разных движках, и — если вы используете innerHTML в div, а не в Textarea — действительно может выполнять разметку, превращая ваш декодер в вектор XSS. Эта реализация представляет собой чистое преобразование строк с явной таблицей сущностей, поэтому она работает в узле, таури и веб-работниках и никогда не может ничего выполнять.

Q: Безопасно ли использовать кавычки?

В основном, с предостережением: ' предварительно определен в XML и HTML5, но он никогда не был частью HTML 4.01, поэтому древние рендереры и некоторые строгие почтовые клиенты его не распознают. Числовая форма ' понимается повсюду, поэтому этот инструмент излучает ' при кодировании одинарных кавычек при еще приёме при декодировании.

Q: Нужно ли вообще кодировать символы с акцентом, такие как É или ü?

Нет, если ваш документ подается как UTF-8 с правильной декларацией кодировки — Litaler é в источнике совершенно действителен и более читабельен. ENGITAL-ENCODE ACCESS ENGINE ENCODENT INCENCED (ПРОГРАММА) Если вы не можете управлять кодировкой транспорта: устаревшие системы, которые извне байтов, шаблоны электронной почты, проходящие через неизвестные шлюзы, или копия предназначена для CMS, которая перекодирует при сохранении. Если вы сомневаетесь, именованный режим обеспечивает их безопасность, не сильно повредив читаемость.

Q: Как обрабатываются эмодзи?

Эмодзи живут за пределами базового многоязычного плоскости, а JavaScript хранит их как суррогатные пары. Наивные кодировщики для каждого кода выдают две неработающие ссылки, такие как &#55357;&#56832;. Этот инструмент итерирует по кодовой точке, поэтому 😀 кодирует как единую допустимую ссылку 😀 и декодирование ссылки выше u+ffff правильно реконструирует пару через string.fromCodePoint.

Q: Что делает и когда я должен его использовать?

Это неразрывное пространство (U+00A0): оно отображается как обычное пространство, но браузер не будет обматывать его строку, и последовательные не сворачиваются. Используйте его, чтобы держать пары вместе - 10 kg, рис. 3, имя и его инициал. Не используйте их для пробелов макета, для этого и предназначены CSS-сценарий, и читатели экрана объявляют дополнительные символы.

Кодировать и декодировать сущности HTML - именованные (&), десятичные (#38;) и шестнадцатеричные (#x26;) формы, с помощью которых XSS-безопасный специальный символ

Mode:

Input0 characters

Output

0 characters

Output will appear here...

Category:encoding

Mode:Offline

Version:1.0.0

Access:Free

Что такое кодировщик/декодер сущностей HTML?

HTML Entity Encoder/Decoder interface on Toolz.dev - Encode and decode HTML entities - named (&), decimal (&), and hex (&) forms, with XSS-safe special-character escaping

HTML Entity Encoder/Decodeder преобразует символы, имеющие особое значение в HTML, в безопасные ссылки на сущности, и превращает сущности из любого источника обратно в читаемый текст. В HTML < запускает тег и и запускает сущность, поэтому, если пользовательский контент, содержащий <script>, попадает в вашу разметку без эскизов, браузер выполняет его. Избегая этих символов как <script> это каноническая защита от отраженного и сохраненного XSS, и этот инструмент выполняет именно это преобразование с использованием рекомендуемого минимального набора OWASP: & < > " и одинарную кавычку.

Инструмент поддерживает три стратегии кодирования, потому что разные контексты требуют разного результата. В названном режиме используется встроенная карта из более чем 100 запоминающихся сущностей - для ©, é для é, — для … - с автоматическим числовой резервной копией (&nnnnn;) для любого символа без общего имени, включая emoji. Числовой режим кодирует все как десятичные символы, что вы хотите для фидов XML или RSS, где определены только пять именованных сущностей (< > ' ') определены и ломаются парсер. Специальный режим позволяет избежать только пяти критически важных символов XSS, оставляя текст и типографику читабельными в вашем источнике — режим, который большинство шаблонных движков используют по умолчанию.

Декодер одинаково тщательный: он обрабатывает именованные сущности, десятичные ссылки, такие как é и шестнадцатеричные ссылки, такие как é - все три формы, которые вы найдете вместе, смешанные на страниц, экспорт CMS и электронное письмо HTML. Все реализовано в чистом TypeScript без трюков DOM (без скрытого взлома TextArea, без документа.CreateElement), что означает, что результаты детерминированы, и одна и та же логика работает одинаково в вашем браузере, в настольном приложении и на сервере. Ваш контент никогда не покидает ваш компьютер - 100% обработка на стороне клиента, безопасная как для проприетарных копий, так и для пользовательских данных.

Как использовать кодер/декодер сущности HTML?

Вставьте свой текст или HTML

Введите необработанный текст, который вам нужно сделать, чтобы сделать HTML-безопасный (ввод пользователя, маркетинговая копия с помощью © и ™, фрагменты кода, предназначенные для блока <pre>), или вставить сущность, пронизанную сущностью, например, gll Class="card"> вы хотите прочитать как обычный текст.

Выберите режим кодирования

Назван для чтения, читаемого человеком (©, é), числовым для XML/RSS-безопасных десятичных ссылок (#169;, é), или специальными-только для того, чтобы избежать просто & < > ' - минимальный, необходимый для предотвращения XSS, сохраняя остальную часть текста читабельной.

Кодировать или декодировать

Нажмите «Кодировать», чтобы преобразовать символы в сущности, или декодировать для разрешения именованных, десятичных (#123;) и шестнадцатеричных (#x1f;) ссылок на символы. Число живых символов показывает, насколько расширение сущности увеличило вашу строку.

Скопируйте или поменяйте местами

Скопируйте результат в буфер обмена или нажмите «Своп», чтобы подключить вывод как входной сигнал — полезен для удаления двойных строк, таких как «Ампер», которые прошли через два эсберижа.

Основные характеристики

100+ именованных сущностей

Встроенная карта, покрывающая символы XSS, типографика (… смарт-цитаты), валюта (& евро; &found;), математические символы, греческие буквы и полный алфавит с акцентом на латинском 1

Три режима кодирования

Назван из-за читаемости, числится для совместимости XML/RSS, специально для минимального XSS-безопасного побега - выбор для контекста вместо одноразового

Декодирует все три сущности

Именованные (&), десятичные (#38;) и шестнадцатеричные (#x26;) ссылки распознаются, даже если они смешиваются в одном и том же документе

Чистая машинопись, нет DOM

Никаких взломов браузера со скрытыми элементами - детерминированная логика, которая ведет себя одинаково в средах веб-, настольных и серверных

Frequently Asked Questions

Как минимум: & < > " и одинарная кавычка - это рекомендованный OWASP набор для контекстов тела и атрибутов HTML, и именно того, что кодирует только специальный режим. Амперсанд должен быть сначала избежать (или обрабатывать атомарно, как это делает этот инструмент), иначе вы повреждаете уже закодированные сущности. Обратите внимание, что кодировка сущностей защищает только контексты HTML; введение пользовательских данных в <script> блоки, URL-адреса или CSS требует различных зависящих от контекста экранирования.

Related Tools

CCE

encoding

Caesar Cipher Encoder & Decoder

Encode and decode Caesar cipher text with any shift, plus ROT13 and ROT47. Brute-force all 25 shifts to crack an unknown key.

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

Command Palette

Кодировщик/декодер сущности HTML

Что такое кодировщик/декодер сущностей HTML?

Как использовать кодер/декодер сущности HTML?

Вставьте свой текст или HTML

Выберите режим кодирования

Кодировать или декодировать

Скопируйте или поменяйте местами

Основные характеристики

100+ именованных сущностей

Три режима кодирования

Декодирует все три сущности

Чистая машинопись, нет DOM

Frequently Asked Questions

Related Tools

Caesar Cipher Encoder & Decoder

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

Comments