Entidades HTML
Escapa caracteres de marcado para que se muestren como texto, o decodifícalos.
- Se ejecuta en tu navegador — tu texto no se envía a ningún sitio
- Sin registro, sin cuotas, gratis para usar tantas veces como quieras
Cómo funciona
Poner texto no fiable en una página web sin escaparlo es como se produce el cross-site scripting. La codificación convierte los caracteres que un navegador trata como marcado en entidades, de modo que se muestran en lugar de ejecutarse.
Qué se codifica
Los cinco caracteres que importan: ampersand, menor que, mayor que, comillas dobles y apóstrofo. El ampersand debe codificarse primero; de lo contrario, todo lo que le sigue se codifica dos veces.
Decodificación
La decodificación convierte las entidades con nombre y las numéricas de nuevo en caracteres usando el analizador del navegador en lugar de una tabla de búsqueda, así que el conjunto completo se maneja correctamente.
Qué se codifica exactamente
La codificación reemplaza cinco caracteres: & se convierte en &, < en <, > en >, " en " y ' en '. Es suficiente para mostrar texto de forma segura dentro de HTML y dentro de atributos entrecomillados. Las letras con acento y los emoji se dejan tal cual, porque las páginas UTF-8 los muestran directamente.
Decodificación
La decodificación entiende todas las entidades con nombre que define HTML, como é, — y , además de las entidades numéricas en decimal o hexadecimal (é, é), porque usa el propio analizador de HTML de tu navegador.
Entidades HTML: preguntas
¿Esto protege mi sitio de XSS?
Escapar la salida es una parte necesaria, pero la seguridad depende de escapar en el contexto correcto. Usa el escapado de tu framework si lo tienes.
¿Qué caracteres codifica?
Ampersand, menor que, mayor que, comillas dobles y apóstrofo: los que un navegador leería como marcado.
¿Se sube mi texto?
No. La codificación se hace en la página.