Encodeur et décodeur d'entités HTML

Une référence de caractère permet d'écrire un caractère en ASCII uniquement. Les références numériques fonctionnent pour n'importe quel point de code Unicode, en décimal (é) ou en hexadécimal (é). Les références nommées sont plus faciles à retenir : HTML 4 en définissait 252, couvrant les lettres Latin-1 comme é, les lettres grecques, les symboles mathématiques et des signes typographiques comme — et …. Curieusement, ' n'en faisait pas partie ; il vient de XML et n'est devenu valide en HTML qu'avec HTML5.

HTML5 a porté la liste à 2 231 références de caractères nommées en absorbant le jeu d'entités MathML, si bien que des noms comme ✓, ★ et ≂̸ fonctionnent aujourd'hui dans tous les navigateurs récents. Ce total inclut des graphies héritées sans point-virgule final, comme &amp et &copy, que les analyseurs acceptent encore par compatibilité mais qu'il ne faut pas écrire. L'encodeur proposé ici produit les noms HTML 4, largement pris en charge, plus ', et se rabat sur une référence numérique pour tout le reste ; le décodeur confie le texte à l'analyseur du navigateur, et comprend donc les 2 231 noms.

Uniquement & < > " ' est le réglage pour un usage courant : il échappe les cinq caractères qui peuvent terminer un nœud de texte ou un attribut entre guillemets, ce qui suffit pour afficher un exemple de code sur une page ou insérer un texte saisi par un utilisateur dans du HTML en toute sécurité. Aussi tous les caractères non ASCII transforme aussi é, € et les emoji en références, pour les rares canaux qui ne gèrent pas UTF-8, comme certains anciens modèles d'e-mail ou des systèmes qui corrompent les encodages. Nommées, Décimales et Hexadécimales ne changent que l'écriture d'une référence ; les trois se décodent en un même caractère. Une page enregistrée en UTF-8 n'a pas besoin d'entités pour les lettres accentuées.

L'échappement protège le contexte HTML et rien d'autre. Un texte inséré dans un bloc de script, un gestionnaire d'événement en ligne comme onclick, un attribut style ou un href pouvant commencer par javascript: demande un traitement différent, et l'encodage en entités ne suffit pas à empêcher les failles XSS dans ces cas. Des frameworks comme React échappent le texte par défaut ; le double échappement est donc le bogue le plus courant dans les applications modernes : les utilisateurs voient & là où une esperluette devrait apparaître. Pour supprimer entièrement les balises, convertissez le balisage avec HTML en TXT ; pour l'échappement dans les URL, utilisez Encoder et décoder une URL.