ترميز كيانات HTML وفك ترميزها

المرجع الحرفي (character reference) طريقة لكتابة أي حرف باستخدام ASCII فقط. تصلح المراجع الرقمية لأي نقطة رمزية في Unicode، بالنظام العشري (é) أو السداسي عشر (é). أما المراجع المسماة فأسهل في الحفظ: عرّفت HTML 4 منها 252 مرجعًا، تشمل حروف Latin-1 مثل é والحروف اليونانية والرموز الرياضية والعلامات الطباعية مثل — و…. ومن الغريب أن ' لم تكن بينها؛ فقد جاءت من XML ولم تصبح صالحة في HTML إلا مع HTML5.

وسّعت HTML5 القائمة إلى 2,231 مرجعًا مسمى بعد أن استوعبت مجموعة كيانات MathML، فصارت أسماء مثل ✓ و★ و≂̸ تعمل في كل المتصفحات الحالية. ويشمل هذا العدد صيغًا قديمة بلا فاصلة منقوطة ختامية، مثل &amp و&copy، وما زالت المحللات تقبلها للتوافق لكن لا ينبغي أن تكتبها. يُنتج المشفّر هنا أسماء HTML 4 المدعومة على نطاق واسع إضافة إلى '، ويلجأ إلى مرجع رقمي لكل ما عدا ذلك؛ أما فك الترميز فيمرر النص إلى محلل المتصفح نفسه، لذلك يفهم كل الأسماء الـ 2,231.

الخيار Only & < > " ' هو الإعداد المناسب للعمل اليومي: يهرّب الأحرف الخمسة التي قد تنهي عقدة نصية أو قيمة سمة مقتبسة، وهذا يكفي لعرض مثال برمجي في صفحة أو لوضع نص المستخدم داخل HTML بأمان. أما Also every non-ASCII character فيحوّل é و€ والرموز التعبيرية إلى مراجع أيضًا، للقنوات النادرة التي لا تحمل UTF-8، مثل بعض قوالب البريد القديمة أو الأنظمة التي تفسد الترميز. وNamed وDecimal وHex تغيّر طريقة كتابة المرجع فقط؛ وكلها تُفك إلى الحرف نفسه. والصفحة المحفوظة بترميز UTF-8 لا تحتاج إلى كيانات للأحرف المشكّلة.

يحمي التهريب سياق HTML فقط ولا شيء غيره. فالنص المُدرج في كتلة script أو في معالج حدث مضمّن مثل onclick أو في سمة style أو في href قد يبدأ بـ javascript: يحتاج إلى معالجة مختلفة، ولا يمنع ترميز الكيانات وحده هجمات البرمجة عبر المواقع (XSS) هناك. وتهرّب أطر مثل React النصوص افتراضيًا، لذلك فالتهريب المزدوج هو الخطأ الأكثر شيوعًا في التطبيقات الحديثة: يرى المستخدمون & حيث يجب أن تظهر علامة &. ولإزالة الوسوم كليًا حوّل الشيفرة باستخدام HTML إلى TXT، ولتهريب الأحرف داخل الروابط استخدم ترميز URL وفك ترميزه.