HTML-entiteter
Escape markup-tegn slik at de vises som tekst, eller dekod dem tilbake.
- Kjører i nettleseren din — teksten din sendes aldri noe sted
- Ingen registrering, ingen kvoter, gratis å bruke så ofte du vil
Slik fungerer det
Å sette inn ikke-klarert tekst på en nettside uten å escape den er slik cross-site scripting oppstår. Koding gjør om tegnene en nettleser tolker som markup til entiteter, slik at de vises i stedet for å bli utført.
Hva som kodes
De fem tegnene som betyr noe: og-tegn, mindre enn, større enn, dobbelt anførselstegn og apostrof. Og-tegnet må kodes først, ellers blir alt som kommer etter det kodet to ganger.
Dekoding
Dekoding gjør om navngitte og numeriske entiteter tilbake til tegn ved hjelp av nettleserens parser i stedet for en oppslagstabell, så hele settet håndteres riktig.
Nøyaktig hva som kodes
Koding erstatter fem tegn: & blir &, < blir <, > blir >, " blir " og ' blir '. Det er nok til å vise tekst trygt i HTML og i attributter med anførselstegn. Bokstaver med aksent og emojier lar vi stå som de er, fordi UTF-8-sider viser dem direkte.
Dekoding
Dekoding forstår alle navngitte entiteter HTML definerer, som é, — og , pluss numeriske entiteter i desimal eller hex (é, é), fordi det bruker nettleserens egen HTML-parser.
HTML-entiteter – spørsmål
Gjør dette nettstedet mitt trygt mot XSS?
Å escape utdata er en nødvendig del av det, men sikkerheten avhenger av at du escaper i riktig kontekst. Bruk rammeverkets egen escaping der du har et.
Hvilke tegn koder det?
Og-tegn, mindre enn, større enn, dobbelt anførselstegn og apostrof – tegnene en nettleser ellers ville lest som markup.
Lastes teksten min opp?
Nei. Kodingen skjer på siden.