ישויות HTML

איך זה עובד

הכנסת טקסט לא מהימן לדף אינטרנט בלי לקדד אותו היא הדרך שבה מתרחש cross-site scripting. הקידוד ממיר את התווים שהדפדפן רואה כקוד סימון לישויות, כך שהם מוצגים ולא מורצים.

מה מקודד

חמשת התווים החשובים: אמפרסנד, קטן מ, גדול מ, גרשיים כפולים וגרש. את האמפרסנד חובה לקדד ראשון, אחרת כל מה שאחריו מקודד פעמיים.

פענוח

הפענוח הופך ישויות בעלות שם וישויות מספריות בחזרה לתווים באמצעות המנתח של הדפדפן ולא טבלת חיפוש, ולכן כל הקבוצה מטופלת נכון.

מה בדיוק מקודד

הקידוד מחליף חמישה תווים: & הופך ל-&, < הופך ל-<, > הופך ל->, " הופך ל-" ו-' הופך ל-'. זה מספיק כדי להציג טקסט בבטחה בתוך HTML ובתוך מאפיינים במירכאות. אותיות עם סימני ניקוד ואמוג'י נשארים כפי שהם, משום שדפי UTF-8 מציגים אותם ישירות.

פענוח

הפענוח מבין כל ישות בעלת שם שמוגדרת ב-HTML, כמו é, — ו- , וכן ישויות מספריות עשרוניות או הקסדצימליות (é, é), משום שהוא משתמש במנתח ה-HTML של הדפדפן שלכם.