我應該使用命名實體還是數字實體？

命名實體 (©, é) 具有自我記錄，並且更容易在原始程式碼中進行審查，因此更喜歡它們用於手持 HTML。數字參考 (©) 在任何地方都有效 - 包括 XML、RSS 和 SVG，其中沒有定義 HTML 命名集 - 因此，當您的輸出比瀏覽器更嚴格時，更喜歡數字。如果您的頁面被用作 UTF-8（它們應該是），您也可以只使用文字角色，並且只能逃避五個特價。

為什麼破壞我的 XML 或 RSS 提要？

XML 僅預先定義五個實體： & < > " 和 '。其他每個 HTML 名稱 - , ©, — - 在 XML 中未定義，因此符合性解析器在遇到“未定義實體”錯誤時會拋出“未定義實體”錯誤。改為使用數字模式編碼：是相同的非破壞空間，在 HTML 和 XML 中都有效。

é 和 é 有什麼區別？

除了數字基礎之外，什麼都沒有 - 都是 é (U+00E9) 的字元參考。 é使用十進制，é使用十六進位（X前綴，區分不敏感）。 Hex Form 直接映射到 Unicode 代碼點符號，這就是為什麼工具經常發出它；瀏覽器對待兩者是相同的。這裡的解碼器兩者兼具。

為什麼我在我的輸出中看到 < 而不是 <？

那是雙重編碼：字串被轉義兩次，所以 < 被重新轉入 &。當您的模板引擎和您自己的程式碼都逃脫相同的值，或是已經編碼的內容儲存到資料庫並在渲染時再次轉義時，通常會發生這種情況。使用 SWAP 按鈕解碼兩次以恢復原始狀態，然後確保轉義恰好發生一次 - 在輸出時間，而不是在儲存時間。

為什麼這個工具不使用 document.createElement 來解碼？

常見的 TextArea/InnerHtml 技巧僅在瀏覽器中起作用，在引擎中表現不一致，而且 - 如果您在 div 而不是 textarea 上使用 InnerHtml - 實際上可以執行標記，將您的解碼器變成 XSS 向量。這個實作是一個純字串轉換，有明確的實體表，所以它在 Node、Tauri 和 Web Workers 中運行，並且永遠無法執行任何操作。

“可以安全地用於單引號嗎？

大多數情況下，有一個警告： ' 在 XML 和 HTML5 中預先定義，但它從來不是 HTML 4.01 的一部分，因此古代渲染器和一些嚴格的電子郵件用戶端無法識別它。數字形式 ' 隨處可見，這就是為什麼這個工具會發出 ' 編碼單引號時，同時仍接受 ' 解碼時的原因。

我需要對 é 或 ü 等口音字元進行編碼嗎？

如果您的文件使用正確的字元集聲明作為 UTF-8 ，則不會 - 來源中的文字是完全有效且更具可讀性的。當您無法控制傳輸編碼時，實體編碼重音：遺留系統，可破壞位元組、電子郵件模板通過未知網關或複製目標用於重新編碼的 CMS。如有疑問，命名模式可以確保它們的安全，而不會對可讀性造成太大傷害。

表情符號如何處理？

Emoji 生活在基本的多語言平面之外，而 JavaScript 將它們儲存為替代對。天真的每個代碼單元編碼器會發出兩個損壞的參考，例如 &#55357;&#56832;。此工具透過代碼點迭代，因此 😀 編碼為單一有效參考 😀，並且在 U+FFF 上方解碼參考，透過 String.fromcodePoint 正確重建對。

做什麼，我應該什麼時候使用它？

它是一個不間斷的空間 (U+00A0)：它呈現得像一個普通空間，但瀏覽器不會在它上面包裹這條線，而連續的空間不會折疊。用它來保持配對 - 10 kg, fig. 3, 一個名字及其首字母。不要使用它們的運行來進行佈局間距；這就是 CSS 餘量和填充的用途，螢幕閱讀器會宣布額外的字元。

如何在 JavaScript 或 Python 中解碼 HTML 實體？

在 Python 中，標準庫涵蓋它：HTML.UNESCAPE(s) 解析命名、十進位和十六進位引用。在節點中，使用諸如 he (he.decode(s)) 或實體之類的函式庫。在瀏覽器中，避免使用 div 上的 innerHtml 技巧 - 它可以執行標記；如果您必須使用 DOM，解析為 TextArea 值或使用 DomParser。

編碼實體是否也能防止 SQL 注入？

不 . HTML 實體編碼是針對特定上下文的輸出轉義：HTML 文件。使用參數化查詢、使用百分比編碼的 URL 注入和具有適當參數傳遞的 shell 注入來防止 SQL 注入。在將使用者輸入儲存到資料庫之前，將使用者輸入編碼為實體實際上是一個反模式 - 儲存原始文字，並在您渲染到的任何上下文中在渲染時間轉義。

HTML 實體編碼器/解碼器

Q: 我必須逃避哪些角色才能防止 XSS？

至少：& " 和單一引用 - 這是 HTML 主體和屬性上下文的 OWASP 推薦集，以及特殊模式所編碼的確切內容。 必須先逃避 Ampersand（或以原子方式處理，如此工具所述），否則您將損壞已編碼的實體。 請注意，實體編碼僅保護 HTML 上下文；將使用者資料注入 區塊、URL 或 CSS 需要不同的、特定於上下文的轉義。

Q: 我應該使用命名實體還是數字實體？

命名實體 (©, é) 具有自我記錄，並且更容易在原始程式碼中進行審查，因此更喜歡它們用於手持 HTML。 數字參考 (©) 在任何地方都有效 - 包括 XML、RSS 和 SVG，其中沒有定義 HTML 命名集 - 因此，當您的輸出比瀏覽器更嚴格時，更喜歡數字。 如果您的頁面被用作 UTF-8（它們應該是），您也可以只使用文字角色，並且只能逃避五個特價。

Q: 為什麼 破壞我的 XML 或 RSS 提要？

XML 僅預先定義五個實體： & < > " 和 '。 其他每個 HTML 名稱 - , ©, — - 在 XML 中未定義，因此符合性解析器在遇到“未定義實體”錯誤時會拋出“未定義實體”錯誤。 改為使用數字模式編碼： 是相同的非破壞空間，在 HTML 和 XML 中都有效。

Q: 為什麼我在我的輸出中看到 &lt; 而不是 <？

那是雙重編碼：字串被轉義兩次，所以 < 被重新轉入 &。 當您的模板引擎和您自己的程式碼都逃脫相同的值，或是已經編碼的內容儲存到資料庫並在渲染時再次轉義時，通常會發生這種情況。 使用 SWAP 按鈕解碼兩次以恢復原始狀態，然後確保轉義恰好發生一次 - 在輸出時間，而不是在儲存時間。

Q: 為什麼這個工具不使用 document.createElement 來解碼？

常見的 TextArea/InnerHtml 技巧僅在瀏覽器中起作用，在引擎中表現不一致，而且 - 如果您在 div 而不是 textarea 上使用 InnerHtml - 實際上可以執行標記，將您的解碼器變成 XSS 向量。 這個實作是一個純字串轉換，有明確的實體表，所以它在 Node、Tauri 和 Web Workers 中運行，並且永遠無法執行任何操作。

Q: “可以安全地用於單引號嗎？

大多數情況下，有一個警告： ' 在 XML 和 HTML5 中預先定義，但它從來不是 HTML 4.01 的一部分，因此古代渲染器和一些嚴格的電子郵件用戶端無法識別它。 數字形式 ' 隨處可見，這就是為什麼這個工具會發出 ' 編碼單引號時，同時仍接受 ' 解碼時的原因。

Q: 我需要對 é 或 ü 等口音字元進行編碼嗎？

如果您的文件使用正確的字元集聲明作為 UTF-8 ，則不會 - 來源中的文字是完全有效且更具可讀性的。 當您無法控制傳輸編碼時，實體編碼重音：遺留系統，可破壞位元組、電子郵件模板通過未知網關或複製目標用於重新編碼的 CMS。 如有疑問，命名模式可以確保它們的安全，而不會對可讀性造成太大傷害。

Q: 表情符號如何處理？

Emoji 生活在基本的多語言平面之外，而 JavaScript 將它們儲存為替代對。 天真的每個代碼單元編碼器會發出兩個損壞的參考，例如 &#55357;&#56832;。 此工具透過代碼點迭代，因此 😀 編碼為單一有效參考 😀，並且在 U+FFF 上方解碼參考，透過 String.fromcodePoint 正確重建對。

Q: 做什麼，我應該什麼時候使用它？

它是一個不間斷的空間 (U+00A0)：它呈現得像一個普通空間，但瀏覽器不會在它上面包裹這條線，而連續的空間不會折疊。 用它來保持配對 - 10 kg, fig. 3, 一個名字及其首字母。 不要使用它們的運行來進行佈局間距；這就是 CSS 餘量和填充的用途，螢幕閱讀器會宣布額外的字元。

編碼和解碼 HTML 實體 - 命名 (&)、十進位 (&) 和 hex (&) 表單，帶有 XSS-SAFe 特殊字元轉義

Mode:

Input0 characters

Output

0 characters

Output will appear here...

什麼是 HTML 實體編碼器/解碼器？

HTML Entity Encoder/Decoder 將 HTML 中具有特殊意義的字元轉換為安全實體引用，並將任何來源的實體轉換回可讀的文字。在 HTML 中，< 啟動一個標籤並開始一個實體 - 因此，如果包含 <script> 的使用者產生的內容未被轉義，則瀏覽器會執行它。將這些字元轉出為 <script> 是對反射和儲存的 XSS 的規範防禦，而此工具使用 OWASP 推薦的最小集合：& < > " 和單一引號來執行該轉換。

該工具支援三種編碼策略，因為不同的上下文需要不同的輸出。 Named Mode 使用 100 多個令人難忘的實體 - © 的內建地圖，é for é, — for - , … for ... - 用於任何沒有共同名稱的字元，包括表情符號，都帶有自動數字後備 (&#nnnn;)。數字模式將所有內容編碼為十進位字元參考，這是您想要的 XML 或 RSS 提要，其中只有五個命名實體（& > > " '）被定義，  將破壞解析器。專用模式僅支援五個 XSS 關鍵字元，在您的來源中留下可讀的重音文字和排版 - 大多數模板引擎預設使用的模式。

解碼器同樣徹底：它處理命名實體、十進制參考，如 é 和像 é 這樣的十六進位參考 - 你會發現所有三種形式都在刮擦的頁面、CMS 導出和電子郵件 HTML 中混合在一起。一切都在沒有 DOM 技巧（沒有隱藏的 TextArea hack，沒有 document.createelement）的純類型腳本中實現，這意味著結果是確定性的，相同的邏輯在您的瀏覽器、桌面應用程式和伺服器上運行相同。您的內容永遠不會離開您的機器 - 100% 客戶端處理，可安全地複製和使用者資料。

如何使用 HTML Entity Encoder/Decoder？

貼上您的文字或 HTML
輸入您需要製作 HTML 安全的原始文字（使用者輸入、使用 © 和 ™ 的行銷副本、用於 <pre> 區塊的程式碼片段），或貼上實體充滿 HTML，例如 <div class="card> 您希望以純文字形式閱讀。
選擇編碼模式
以人類可讀輸出 (©, é) 命名，用於 XML/RSS-SAFE 十進位參考 (©, é)，或特殊僅用於轉義 & < > "' - 防止 XSS 所需的最低限度，同時保持其餘的文字可讀。
編碼或解碼
按一下編碼以將字元轉換為實體，或將解碼解碼為「解碼」、十進位 ({) 和十六進位 () 引用回字元。即時字元計數顯示實體擴展的成長字符碼。
複製或交換
將結果複製到剪貼簿，或點擊交換以將輸出反饋為輸入 - 可用於剝開經歷兩個逃生層的雙重編碼字串。

主要特點

100 多個指定實體
內建地圖，涵蓋 XSS 字元、排版（— … 智慧報價）、貨幣（&eur; £）、數學符號、希臘字母和完整的拉丁文 1 重音字母表
三種編碼模式
以可讀性命名，用於 XML/RSS 相容性的數字，專用於最小的 XSS 安全逃避 - 每個上下文選擇而不是一刀切
解碼所有三個實體形式
命名 (&)、十進制 (&) 和十六進位 (&) 引用都被識別，即使混合在同一個文件中
純打字稿，沒有 dom
沒有隱藏元素瀏覽器駭客 - 在 Web、桌面和伺服器環境中表現相同的確定性邏輯

Frequently Asked Questions

至少：& < > " 和單一引用 - 這是 HTML 主體和屬性上下文的 OWASP 推薦集，以及特殊模式所編碼的確切內容。必須先逃避 Ampersand（或以原子方式處理，如此工具所述），否則您將損壞已編碼的實體。請注意，實體編碼僅保護 HTML 上下文；將使用者資料注入 <script> 區塊、URL 或 CSS 需要不同的、特定於上下文的轉義。

Related Tools

CCE

encoding

Caesar Cipher Encoder & Decoder

Encode and decode Caesar cipher text with any shift, plus ROT13 and ROT47. Brute-force all 25 shifts to crack an unknown key.

encoding

Unicode Converter

Convert text to and from Unicode code points, HTML entities, JavaScript escapes, and CSS escapes. Emoji and astral characters handled correctly.

encoding

URL Encoder/Decoder

Encode and decode URLs, query strings, and form data with encodeURIComponent, encodeURI, or form-urlencoded modes

HM&

minify

HTML Minifier & Beautifier

Minify HTML markup for faster page loads or beautify it for readable, indented source

Comments

0 comments

No comments yet. Be the first to share your thoughts!

html entitieshtml encoderhtml decoderhtml escapehtml unescapenamed entitiesnumeric character referencexss escapingspecial charactersampersand encoding

了解更多

閱讀完整的 HTML 實體編碼器/解碼器指南

Command Palette

HTML 實體編碼器/解碼器

什麼是 HTML 實體編碼器/解碼器？

如何使用 HTML Entity Encoder/Decoder？

貼上您的文字或 HTML

選擇編碼模式

編碼或解碼

複製或交換

主要特點

100 多個指定實體

三種編碼模式

解碼所有三個實體形式

純打字稿，沒有 dom

Frequently Asked Questions

Related Tools

Caesar Cipher Encoder & Decoder

Unicode Converter

URL Encoder/Decoder

HTML Minifier & Beautifier

Comments

了解更多