Kóðun og afkóðun HTML-eininga

Stafatákn (character reference) er leið til að skrifa staf með ASCII-stöfum einum. Tölutákn virka fyrir hvaða Unicode-kóðapunkt sem er, með tugakerfi (é) eða sextándakerfi (é). Nafngreind tákn eru auðveldari að muna: HTML 4 skilgreindi 252 þeirra, þar á meðal Latin-1 stafi eins og é, grísk letur, stærðfræðitákn og leturfræðileg merki eins og — og …. Merkilegt nokk var ' ekki þar á meðal; það kom úr XML og varð ekki gilt í HTML fyrr en með HTML5.

HTML5 stækkaði listann í 2.231 nafngreint stafatákn og tók inn MathML-táknasafnið, þannig að nöfn eins og ✓, ★ og ≂̸ virka nú í öllum núverandi vöfrum. Talan inniheldur eldri ritháttu án lokasemikommu, svo sem &amp og &copy, sem þáttarar taka enn við vegna samhæfni en þú átt ekki að skrifa. Kóðarinn hér býr til útbreidd HTML 4 nöfn auk ' og notar tölutákn fyrir allt annað; afkóðarinn sendir textann til eigin þáttara vafrans og skilur því öll 2.231 nöfnin.

Aðeins & < > " ' er stillingin fyrir daglega notkun: hún sleppur fimm stöfum sem geta lokið textahnút eða gæsalappagildi eigindar, sem nægir til að sýna kóðadæmi á síðu eða setja texta notanda örugglega inn í HTML. Einnig alla stafi utan ASCII breytir é, € og emoji-táknum líka í stafatákn, fyrir sjaldgæfar leiðir sem geta ekki flutt UTF-8, til dæmis sum gömul tölvupóstsniðmát eða kerfi sem skemma stafakóðun. Nafngreint, Tugakerfi og Sextándakerfi breyta aðeins því hvernig tákn er ritað; öll afkóðast í sama staf. Síða vistuð sem UTF-8 þarf engin stafatákn fyrir stafi með broddum.

Undanskot ver aðeins HTML-samhengið og ekkert annað. Texti sem er settur inn í script-blokk, innbyggðan atburðarstjóra eins og onclick, style-eigind eða href sem gæti byrjað á javascript: þarf aðra meðhöndlun, og stafatákn ein og sér koma ekki í veg fyrir XSS-árásir þar. Rammar eins og React sleppa texta sjálfkrafa, þannig að tvöfalt undanskot er algengari villa í nútímaforritum: notendur sjá & þar sem og-merki á að vera. Til að fjarlægja merkingar alveg skaltu umbreyta kóðanum með HTML í TXT; fyrir undanskot í vefslóðum skaltu nota URL-kóðun og afkóðun.