Κωδικοποίηση και αποκωδικοποίηση οντοτήτων HTML

Μια αναφορά χαρακτήρα είναι ένας τρόπος να γράψετε έναν χαρακτήρα μόνο με ASCII. Οι αριθμητικές αναφορές λειτουργούν για οποιοδήποτε σημείο κώδικα Unicode, σε δεκαδική (é) ή δεκαεξαδική (é) μορφή. Οι ονομαστικές αναφορές θυμούνται πιο εύκολα: η HTML 4 όρισε 252 από αυτές, που καλύπτουν γράμματα Latin-1 όπως το é, ελληνικά γράμματα, μαθηματικά σύμβολα και τυπογραφικά σημεία όπως τα — και …. Παραδόξως το ' δεν ήταν ανάμεσά τους· προήλθε από την XML και έγινε έγκυρο στην HTML μόλις με την HTML5.

Η HTML5 επέκτεινε τη λίστα σε 2.231 ονομαστικές αναφορές χαρακτήρων, ενσωματώνοντας το σύνολο οντοτήτων της MathML, έτσι ώστε ονόματα όπως ✓, ★ και ≂̸ να λειτουργούν σε κάθε σημερινό πρόγραμμα περιήγησης. Το πλήθος περιλαμβάνει και παλαιές γραφές χωρίς το τελικό ερωτηματικό, όπως &amp και &copy, τις οποίες οι αναλυτές δέχονται ακόμη για λόγους συμβατότητας, αλλά δεν πρέπει να γράφετε. Ο κωδικοποιητής εδώ παράγει τα ευρέως υποστηριζόμενα ονόματα της HTML 4 συν το ' και καταφεύγει σε αριθμητική αναφορά για όλα τα υπόλοιπα· ο αποκωδικοποιητής δίνει το κείμενο στον δικό του αναλυτή του προγράμματος περιήγησης, οπότε κατανοεί και τα 2.231 ονόματα.

Η επιλογή Only & < > " ' είναι η ρύθμιση για την καθημερινή δουλειά: κάνει escape στους πέντε χαρακτήρες που μπορούν να τερματίσουν έναν κόμβο κειμένου ή μια χαρακτηριστική τιμή σε εισαγωγικά, κάτι αρκετό για να εμφανίσετε δείγμα κώδικα σε σελίδα ή να τοποθετήσετε με ασφάλεια κείμενο χρήστη μέσα σε HTML. Η επιλογή Also every non-ASCII character μετατρέπει σε αναφορές και τα é, € και τα emoji, για τα σπάνια κανάλια που δεν μπορούν να μεταφέρουν UTF-8, όπως ορισμένα παλιά πρότυπα email ή συστήματα που αλλοιώνουν τις κωδικοποιήσεις. Οι επιλογές Named, Decimal και Hex αλλάζουν μόνο τον τρόπο γραφής μιας αναφοράς· και οι τρεις αποκωδικοποιούνται στον ίδιο χαρακτήρα. Μια σελίδα που αποθηκεύεται σε UTF-8 δεν χρειάζεται οντότητες για τους τονισμένους χαρακτήρες.

Το escape προστατεύει μόνο το περιβάλλον HTML και τίποτα άλλο. Κείμενο που εισάγεται σε μπλοκ script, σε inline χειριστή συμβάντος όπως το onclick, σε χαρακτηριστικό style ή σε href που μπορεί να ξεκινά με javascript: απαιτεί διαφορετικό χειρισμό, και η κωδικοποίηση οντοτήτων από μόνη της δεν αποτρέπει εκεί το cross-site scripting. Πλαίσια όπως το React κάνουν από προεπιλογή escape στο κείμενο, οπότε το διπλό escape είναι το συνηθέστερο σφάλμα στις σύγχρονες εφαρμογές: οι χρήστες βλέπουν & εκεί που θα έπρεπε να υπάρχει ένα σύμβολο &. Για να αφαιρέσετε εντελώς τις ετικέτες, μετατρέψτε τον κώδικα με το HTML σε TXT· για escape μέσα σε URL, χρησιμοποιήστε το Κωδικοποίηση και αποκωδικοποίηση URL.