Entiti HTML
Lepaskan aksara markup supaya dipaparkan sebagai teks, atau nyahkod semula.
- Berjalan dalam pelayar anda — teks anda tidak pernah dihantar ke mana-mana
- Tanpa pendaftaran, tanpa kuota, percuma digunakan sebanyak mana yang anda suka
Cara ia berfungsi
Memasukkan teks yang tidak dipercayai ke dalam halaman web tanpa melepaskannya ialah cara berlakunya skrip rentas tapak. Pengekodan menukar aksara yang dianggap sebagai markup oleh pelayar kepada entiti, supaya ia dipaparkan dan bukan dilaksanakan.
Apa yang dikodkan
Lima aksara yang penting: ampersan, kurang daripada, lebih daripada, tanda petikan berganda dan apostrof. Ampersan mesti dikodkan dahulu, jika tidak segala yang mengikutinya akan dikodkan dua kali.
Penyahkodan
Penyahkodan menukar entiti bernama dan berangka kembali kepada aksara menggunakan pengurai pelayar dan bukannya jadual carian, jadi set penuh dikendalikan dengan betul.
Tepat apa yang dikodkan
Pengekodan menggantikan lima aksara: & menjadi &, < menjadi <, > menjadi >, " menjadi " dan ' menjadi '. Itu mencukupi untuk memaparkan teks dengan selamat dalam HTML dan dalam atribut bertanda petikan. Huruf beraksen dan emoji dibiarkan seperti asal, kerana halaman UTF-8 memaparkannya secara terus.
Penyahkodan
Penyahkodan memahami setiap entiti bernama yang ditakrifkan oleh HTML, seperti é, — dan , serta entiti berangka dalam perpuluhan atau hex (é, é), kerana ia menggunakan pengurai HTML milik pelayar anda sendiri.
Entiti HTML — soalan lazim
Adakah ini menjadikan laman saya selamat daripada XSS?
Melepaskan output (escaping) ialah sebahagian yang perlu, tetapi keselamatan bergantung pada pelepasan dalam konteks yang betul. Gunakan pelepasan rangka kerja anda jika ada.
Aksara manakah yang dikodkan?
Ampersan, kurang daripada, lebih daripada, tanda petikan berganda dan apostrof — aksara yang jika tidak akan dibaca oleh pelayar sebagai markup.
Adakah teks saya dimuat naik?
Tidak. Pengekodan berjalan dalam halaman.