Entidades HTML
Escape caracteres de marcação para que apareçam como texto, ou decodifique-os de volta.
- Executa no seu navegador — seu texto nunca é enviado a lugar nenhum
- Sem cadastro, sem cotas, grátis para usar quantas vezes quiser
Como funciona
Colocar texto não confiável em uma página web sem escapá-lo é como acontece o cross-site scripting. A codificação converte os caracteres que o navegador trata como marcação em entidades, para que sejam exibidos em vez de executados.
O que é codificado
Os cinco caracteres que importam: e comercial, menor que, maior que, aspas duplas e apóstrofo. O e comercial precisa ser codificado primeiro, senão tudo o que vem depois dele é codificado duas vezes.
Decodificação
A decodificação converte entidades nomeadas e numéricas de volta em caracteres usando o analisador do navegador, e não uma tabela de consulta, de modo que o conjunto completo é tratado corretamente.
Exatamente o que é codificado
A codificação substitui cinco caracteres: & vira &, < vira <, > vira >, " vira " e ' vira '. Isso basta para exibir texto com segurança dentro do HTML e dentro de atributos entre aspas. Letras acentuadas e emojis são mantidos como estão, porque páginas em UTF-8 os exibem diretamente.
Decodificação
A decodificação entende todas as entidades nomeadas que o HTML define, como é, — e , além de entidades numéricas em decimal ou hexadecimal (é, é), porque usa o próprio analisador de HTML do seu navegador.
Entidades HTML — perguntas
Isso deixa meu site seguro contra XSS?
Escapar a saída é uma parte necessária, mas a segurança depende de escapar no contexto certo. Use o escape do seu framework quando houver um.
Quais caracteres ele codifica?
E comercial, menor que, maior que, aspas duplas e apóstrofo — os que um navegador leria como marcação.
Meu texto é enviado?
Não. A codificação é executada na página.