我应该使用命名实体还是数字实体？

命名实体（©, é）是自记录的，更容易在源代码中查看，因此更喜欢它们用于手持的 HTML。数字引用（©）在任何地方都可以工作——包括XML、RSS和SVG，其中未定义HTML命名的集合-因此当输出比浏览器更严格的内容时，更喜欢数字。如果您的页面被用作 UTF-8（它们应该是），您也可以只使用文字字符，并且只能逃避五个特价。

为什么破坏我的 XML 或 RSS 源？

XML 仅预定义五个实体： & < > " 和 '。其他HTML名称- , ©, — - 在 XML 中未定义，因此一个合格的解析器在它击中一个“未定义的实体”错误的那一刻抛出一个“未定义的实体”错误。用数字模式编码：是同一个非中断空间，在HTML和XML中都是有效的。

#233;和é有什么区别？

除了数字基数之外，没有任何内容 - 两者都是 É (U+00E9) 的字符引用。 é 使用十进制，é 使用十六进制（x 前缀，不区分大小写）。十六进制表单直接映射到 Unicode 代码点符号上，这就是工具经常发出它的原因；浏览器对待两者。这里的解码器接受两者。

为什么我的输出中会看到 < 而不是 <

即双重编码：字符串被转义两次，因此 < 的 & 被重新转义到 &。当您的模板引擎和您自己的代码转义相同的值时，或者当已编码的内容被保存到数据库并在渲染时再次转义时，它通常会发生。使用交换按钮解码两次以恢复原始，然后确保转义恰好发生一次 - 在输出时，而不是在存储时。

为什么这个工具不使用 document.createElement 来解码？

普通的 textarea/innerhtml 技巧仅在浏览器中运行，在引擎中的行为不一致，并且 - 如果您在 div 而不是 textarea 上使用 innerHTML - 实际上可以执行标记，将解码器变成 XSS 向量。此实现是纯字符串转换，具有显式实体表，因此它在 Node、Tauri 和 Web Workers 中运行，并且永远无法执行任何操作。

单引号安全使用吗？

大多数情况下，有一个警告：' 是在 XML 和 HTML5 中预定义的，但它从来不是 HTML 4.01 的一部分，因此古老的渲染器和一些严格的电子邮件客户端无法识别它。数字形式'在任何地方都可以理解，这就是为什么这个工具会发出 ' 编码单引号的同时，在解码时仍然接受“”。

我是否需要对 É 或 ü 进行编码重音字符？

如果您的文档以正确的字符集声明作为 UTF-8 提供服务 - 源中的文字 é 是完全有效且更具可读性的。无法控制传输编码时的实体编码重音：更改字节的遗留系统、通过未知网关的电子邮件模板或用于在保存时重新编码的 CMS 的副本。有疑问时，命名模式可以确保它们的安全性，而不会损害可读性。

表情符号是如何处理的？

表情符号位于基本的多语言平面之外，JavaScript 将它们存储为替代对。朴素的每个代码单元编码器发出两个损坏的引用，如 &#55357;&#56832;。这个工具按代码点迭代，所以😀编码为单个有效引用 😀，解码上方的引用 U+FFFF 正确地通过 string.fromCodePoint 重构对。

做什么，我应该什么时候使用它？

它是一个非破碎空间（U+00A0）：它呈现为普通空间，但浏览器不会将该行包裹在其上，并且连续的不会折叠。用它来保持对在一起- 10 kg，图 3，一个名称及其首字母。不要使用它们的运行来布局间距；这就是 CSS 边距和填充的用途，屏幕阅读器会宣布额外的字符。

如何在JavaScript或Python中解码HTML实体？

在 Python 中，标准库覆盖了它：html.unescape(s) 解析命名、十进制和十六进制引用。在 Node 中，使用库（He.Decode(s)）或实体等库。在浏览器中，避免使用 div 的 innerHTML 技巧 - 它可以执行标记；如果必须使用 DOM、解析为 TextArea 值或使用 Domparser 代替。

编码实体是否也防止 SQL 注入？

不 .html 实体编码是针对一种特定的上下文进行输出转义的：HTML 文档。参数化查询、带百分比编码的 URL 注入和正确传递参数的 shell 注入可以防止 SQL 注入。将用户输入的用户输入编码到实体之前，实际上是一个反模式——存储原始文本，并在渲染时转义，无论您渲染到哪个上下文。

HTML实体编码器/解码器

Q: 我必须转义哪些字符以防止 XSS？

至少： & "和单引号 - 这是 OWASP 推荐的 HTML 正文和属性上下文集，以及特殊的模式编码的内容。 和符号必须先转义（或以原子方式处理），否则您将损坏已编码的实体。 注意，实体编码仅保护 HTML 上下文；将用户数据注入 块、URL 或 CSS 需要不同的、特定于上下文的转义。

Q: 我应该使用命名实体还是数字实体？

命名实体（©, é）是自记录的，更容易在源代码中查看，因此更喜欢它们用于手持的 HTML。 数字引用（©）在任何地方都可以工作——包括XML、RSS和SVG，其中未定义HTML命名的集合-因此当输出比浏览器更严格的内容时，更喜欢数字。 如果您的页面被用作 UTF-8（它们应该是），您也可以只使用文字字符，并且只能逃避五个特价。

Q: 为什么 破坏我的 XML 或 RSS 源？

XML 仅预定义五个实体： & < > " 和 '。 其他HTML名称- , ©, — - 在 XML 中未定义，因此一个合格的解析器在它击中一个“未定义的实体”错误的那一刻抛出一个“未定义的实体”错误。 用数字模式编码： 是同一个非中断空间，在HTML和XML中都是有效的。

Q: 为什么我的输出中会看到 < 而不是 <

即双重编码：字符串被转义两次，因此 < 的 & 被重新转义到 &。 当您的模板引擎和您自己的代码转义相同的值时，或者当已编码的内容被保存到数据库并在渲染时再次转义时，它通常会发生。 使用交换按钮解码两次以恢复原始，然后确保转义恰好发生一次 - 在输出时，而不是在存储时。

Q: 为什么这个工具不使用 document.createElement 来解码？

普通的 textarea/innerhtml 技巧仅在浏览器中运行，在引擎中的行为不一致，并且 - 如果您在 div 而不是 textarea 上使用 innerHTML - 实际上可以执行标记，将解码器变成 XSS 向量。 此实现是纯字符串转换，具有显式实体表，因此它在 Node、Tauri 和 Web Workers 中运行，并且永远无法执行任何操作。

Q: 单引号安全使用吗？

大多数情况下，有一个警告：' 是在 XML 和 HTML5 中预定义的，但它从来不是 HTML 4.01 的一部分，因此古老的渲染器和一些严格的电子邮件客户端无法识别它。 数字形式'在任何地方都可以理解，这就是为什么这个工具会发出 ' 编码单引号的同时，在解码时仍然接受“”。

Q: 我是否需要对 É 或 ü 进行编码重音字符？

如果您的文档以正确的字符集声明作为 UTF-8 提供服务 - 源中的文字 é 是完全有效且更具可读性的。 无法控制传输编码时的实体编码重音：更改字节的遗留系统、通过未知网关的电子邮件模板或用于在保存时重新编码的 CMS 的副本。 有疑问时，命名模式可以确保它们的安全性，而不会损害可读性。

Q: 表情符号是如何处理的？

表情符号位于基本的多语言平面之外，JavaScript 将它们存储为替代对。 朴素的每个代码单元编码器发出两个损坏的引用，如 &#55357;&#56832;。 这个工具按代码点迭代，所以😀编码为单个有效引用 😀，解码上方的引用 U+FFFF 正确地通过 string.fromCodePoint 重构对。

Q: 做什么，我应该什么时候使用它？

它是一个非破碎空间（U+00A0）：它呈现为普通空间，但浏览器不会将该行包裹在其上，并且连续的不会折叠。 用它来保持对在一起- 10 kg，图 3，一个名称及其首字母。 不要使用它们的运行来布局间距；这就是 CSS 边距和填充的用途，屏幕阅读器会宣布额外的字符。

编码和解码 HTML 实体 - 命名 (&)、十进制 (&) 和十六进制 (&) 表单，使用 XSS 安全特殊字符转义

Mode:

Input0 characters

Output

0 characters

Output will appear here...

Category:encoding

Mode:Offline

Version:1.0.0

Access:Free

什么是HTML实体编码器/解码器？

HTML Entity Encoder/Decoder interface on Toolz.dev - Encode and decode HTML entities - named (&), decimal (&), and hex (&) forms, with XSS-safe special-character escaping

HTML 实体编码器/解码器将 HTML 中具有特殊含义的字符转换为安全的实体引用，并将任何源中的实体转换为可读文本。在 HTML 中，< 启动一个标记并启动一个实体 - 因此，如果用户生成的包含 <script> 的内容未转义，则浏览器会执行它。将这些字符转义为 <script> 是对反射和存储的 XSS 的规范防御，该工具使用 OWASP 推荐的最小集合和单引号执行该转换。

该工具支持三种编码策略，因为不同的上下文需要不同的输出。命名模式使用包含 100 多个令人难忘的实体的内置图 - 用于 ©, é for é, — for -, … for ... - 具有自动数字回退 (&#nnn;) 的任何字符，包括表情符号。数字模式将所有内容编码为十进制字符引用，这是 XML 或 RSS 提要所需的，其中只有五个命名实体（&mp; < > ' '）被定义并且   将破坏解析器。仅特殊模式仅转义五个 XSS 关键字符，在源中留下重音文本和排版可读 - 大多数模板引擎默认使用的模式。

解码器同样彻底：它处理命名实体、像 é 这样的十进制引用和像 é 这样的十六进制引用——所有三个形式，你会在抓取的页面、CMS 导出和电子邮件 HTML 中混合在一起。一切都是在纯 TypeScript 中实现的，没有 DOM 技巧（没有隐藏的 Textarea 黑客，没有 document.createElement），这意味着结果是确定性的，并且在您的浏览器、桌面应用程序和服务器上运行相同的逻辑。您的内容永远不会离开您的机器 - 100% 客户端处理，对专有副本和用户数据都很安全。

如何使用HTML实体编码器/解码器？

粘贴您的文本或 HTML

输入您需要使 HTML 安全的原始文本（用户输入，使用 © 和 ™ 的营销副本，用于 <pre> 块的代码片段），或粘贴您想要作为纯文本阅读的类似于 <div class="card">&gt 的实体包围的 html。

选择编码模式

以人类可读的输出（©, é），用于 XML/RSSS 安全的小数引用的数字（©, é），或仅逃逸的特殊值来命名，并 < > " ' - 防止 XSS 的最低限度，同时保持文本的其余部分可读。

编码或解码

单击 Encode 将字符转换为实体，或解码以将命名、十进制 ({) 和十六进制 () 引用解码回字符。实时字符数显示实体扩展的增长了多少字符串。

复制或交换

将结果复制到剪贴板，或按 Swap 将输出作为输入来反馈 - 用于剥离经过两个转义层的双重编码字符串。

主要特点

100多个命名实体

内置地图，涵盖 XSS 字符、排版（— … 智能引号）、货币 (&EURO; &POUND;)、数学符号、希腊字母和完整的拉丁语 1 重音字母

三种编码模式

以可读性命名，用于XML/RSS兼容性的数字，特别是用于最小XSS安全转义的-每个上下文而不是一尺寸适合所有

解码所有三个实体形式

命名 (&), 十进制 (&) 和十六进制 (&) 引用都被识别，即使在同一文档中混合

纯打字稿，没有 DOM

没有隐藏元素浏览器黑客 - 在 Web、桌面和服务器环境中表现相同的确定性逻辑

Frequently Asked Questions

至少： & < > "和单引号 - 这是 OWASP 推荐的 HTML 正文和属性上下文集，以及特殊的模式编码的内容。和符号必须先转义（或以原子方式处理），否则您将损坏已编码的实体。注意，实体编码仅保护 HTML 上下文；将用户数据注入 <script> 块、URL 或 CSS 需要不同的、特定于上下文的转义。

Related Tools

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

JSON

data

JSON Escape / Unescape

Escape and unescape strings for JSON online - handles quotes, backslashes, newlines, tabs, control characters, and \uXXXX Unicode, with optional quote wrapping

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

了解更多

阅读完整的 HTML实体编码器/解码器指南

Command Palette

HTML实体编码器/解码器

什么是HTML实体编码器/解码器？

如何使用HTML实体编码器/解码器？

粘贴您的文本或 HTML

选择编码模式

编码或解码

复制或交换

主要特点

100多个命名实体

三种编码模式

解码所有三个实体形式

纯打字稿，没有 DOM

Frequently Asked Questions

Related Tools

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

JSON Escape / Unescape

Comments

了解更多

HTML实体编码器/解码器

什么是HTML实体编码器/解码器？

如何使用HTML实体编码器/解码器？

粘贴您的文本或 HTML

选择编码模式

编码或解码

复制或交换

主要特点

100多个命名实体

三种编码模式

解码所有三个实体形式

纯打字稿，没有 DOM

Frequently Asked Questions

Related Tools

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

JSON Escape / Unescape

Comments

了解更多