Entitas HTML
Escape karakter markup agar tampil sebagai teks, atau dekode kembali.
- Berjalan di browser Anda — teks Anda tidak pernah dikirim ke mana pun
- Tanpa pendaftaran, tanpa kuota, gratis dipakai sesering yang Anda mau
Cara kerjanya
Memasukkan teks yang tidak tepercaya ke halaman web tanpa meng-escape-nya adalah penyebab cross-site scripting. Encoding mengubah karakter yang diperlakukan browser sebagai markup menjadi entitas, sehingga ditampilkan dan bukan dijalankan.
Apa yang di-encode
Lima karakter yang penting: ampersand, tanda kurang dari, tanda lebih dari, tanda kutip ganda, dan apostrof. Ampersand harus di-encode lebih dulu, kalau tidak semua yang mengikutinya akan ter-encode dua kali.
Decoding
Decoding mengubah entitas bernama maupun numerik kembali menjadi karakter dengan parser browser, bukan tabel pencarian, sehingga seluruh set entitas ditangani dengan benar.
Persisnya apa yang di-encode
Encoding mengganti lima karakter: & menjadi &, < menjadi <, > menjadi >, " menjadi " dan ' menjadi '. Itu cukup untuk menampilkan teks dengan aman di dalam HTML dan di dalam atribut yang diberi tanda kutip. Huruf beraksen dan emoji dibiarkan apa adanya, karena halaman UTF-8 menampilkannya secara langsung.
Decoding
Decoding memahami setiap entitas bernama yang didefinisikan HTML, seperti é, — dan , serta entitas numerik dalam desimal atau hex (é, é), karena memakai parser HTML bawaan browser Anda.
Entitas HTML — pertanyaan
Apakah ini membuat situs saya aman dari XSS?
Meng-escape keluaran adalah bagian yang diperlukan, tetapi keamanan bergantung pada escape di konteks yang tepat. Gunakan escape bawaan framework Anda bila ada.
Karakter apa saja yang di-encode?
Ampersand, tanda kurang dari, tanda lebih dari, tanda kutip ganda, dan apostrof — karakter yang kalau tidak di-encode akan dibaca browser sebagai markup.
Apakah teks saya diunggah?
Tidak. Encoding berjalan di halaman ini.