HTML-Entities kodieren und dekodieren

Eine Zeichenreferenz ist eine Möglichkeit, ein Zeichen nur mit ASCII zu schreiben. Numerische Referenzen funktionieren für jeden Unicode-Codepoint, dezimal (é) oder hexadezimal (é). Benannte Referenzen lassen sich leichter merken: HTML 4 definierte 252 davon, darunter Latin-1-Buchstaben wie é, griechische Buchstaben, mathematische Symbole und typografische Zeichen wie — und …. Merkwürdigerweise war ' nicht dabei; es stammt aus XML und wurde erst mit HTML5 in HTML gültig.

HTML5 erweiterte die Liste auf 2.231 benannte Zeichenreferenzen und übernahm dabei den MathML-Entity-Satz, sodass Namen wie ✓, ★ und ≂̸ heute in jedem aktuellen Browser funktionieren. In dieser Zahl sind auch veraltete Schreibweisen ohne abschließendes Semikolon enthalten, etwa &amp und &copy, die Parser aus Kompatibilitätsgründen weiterhin akzeptieren, die Sie aber nicht schreiben sollten. Der Encoder hier erzeugt die weit unterstützten HTML-4-Namen plus ' und greift für alles andere auf eine numerische Referenz zurück; der Decoder übergibt den Text an den Parser des Browsers und versteht daher alle 2.231 Namen.

Nur & < > " ' ist die Einstellung für den Alltag: Sie maskiert die fünf Zeichen, die einen Textknoten oder ein Attribut in Anführungszeichen beenden können. Das genügt, um ein Codebeispiel auf einer Seite anzuzeigen oder Nutzertext sicher in HTML einzufügen. Auch jedes Nicht-ASCII-Zeichen wandelt é, € und Emoji ebenfalls in Referenzen um, für den seltenen Fall eines Kanals, der kein UTF-8 übertragen kann, etwa manche ältere E-Mail-Vorlagen oder Systeme, die Kodierungen verfälschen. Benannt, Dezimal und Hex ändern nur die Schreibweise einer Referenz; alle drei werden zum selben Zeichen dekodiert. Eine als UTF-8 gespeicherte Seite braucht für Umlaute und andere Akzentbuchstaben keine Entities.

Maskierung schützt nur den HTML-Kontext und sonst nichts. Text in einem Script-Block, einem Inline-Event-Handler wie onclick, einem style-Attribut oder einem href, der mit javascript: beginnen könnte, braucht eine andere Behandlung; Entity-Kodierung allein verhindert dort kein Cross-Site-Scripting. Frameworks wie React maskieren Text standardmäßig, daher ist doppeltes Maskieren in modernen Apps der häufigere Fehler: Nutzer sehen &, wo ein Et-Zeichen stehen sollte. Um Tags komplett zu entfernen, wandeln Sie das Markup mit HTML in TXT um; für Maskierung in URLs nutzen Sie URL kodieren & dekodieren.