HTML-entiteter: kod og afkod

En tegnreference er en måde at skrive et tegn på kun med ASCII. Numeriske referencer fungerer for ethvert Unicode-kodepunkt, enten decimalt (é) eller hexadecimalt (é). Navngivne referencer er lettere at huske: HTML 4 definerede 252 af dem, som dækker Latin-1-bogstaver som é, græske bogstaver, matematiske symboler og typografiske tegn som — og …. Mærkeligt nok var ' ikke blandt dem; den stammer fra XML og blev først gyldig HTML med HTML5.

HTML5 udvidede listen til 2.231 navngivne tegnreferencer og optog MathML-entitetssættet, så navne som ✓, ★ og ≂̸ nu virker i alle aktuelle browsere. Tallet omfatter ældre stavemåder uden afsluttende semikolon, f.eks. &amp og &copy, som parsere stadig accepterer af hensyn til kompatibilitet, men som du ikke bør skrive. Encoderen her producerer de udbredt understøttede HTML 4-navne plus ' og falder tilbage til en numerisk reference for alt andet. Decoderen sender teksten til browserens egen parser, så den forstår alle 2.231 navne.

Kun & < > " ' er indstillingen til hverdagsbrug: den escaper de fem tegn, der kan afslutte en tekstnode eller en attribut i anførselstegn, hvilket er nok til at vise et kodeeksempel på en side eller placere brugertekst sikkert i HTML. Også alle tegn uden for ASCII gør også é, € og emoji til referencer, til de sjældne kanaler, der ikke kan håndtere UTF-8, f.eks. nogle ældre e-mailskabeloner eller systemer, der ødelægger kodninger. Named, Decimal og Hex ændrer kun, hvordan en reference staves; alle tre afkodes til samme tegn. En side gemt som UTF-8 behøver ingen entiteter til bogstaver med accent.

Escaping beskytter kun HTML-konteksten og intet andet. Tekst, der indsættes i en script-blok, en inline-hændelseshandler som onclick, en style-attribut eller en href, der kan begynde med javascript:, kræver anden håndtering, og entitetskodning alene forhindrer ikke cross-site scripting dér. Frameworks som React escaper tekst som standard, så dobbelt escaping er den hyppigere fejl i moderne apps: brugerne ser &, hvor der skulle stå et og-tegn. Hvis du vil fjerne tags helt, kan du konvertere markup med HTML til TXT; til escaping i URL'er kan du bruge URL-kodning og -afkodning.