Codificatore e decodificatore di entità HTML

Un riferimento a carattere è un modo per scrivere un carattere usando solo ASCII. I riferimenti numerici funzionano per qualsiasi punto di codice Unicode, in decimale (é) o esadecimale (é). I riferimenti con nome sono più facili da ricordare: HTML 4 ne definiva 252, che coprono le lettere Latin-1 come é, le lettere greche, i simboli matematici e i segni tipografici come — e …. Curiosamente ' non era tra questi: proviene da XML ed è diventato valido in HTML solo con HTML5.

HTML5 ha ampliato l'elenco a 2.231 riferimenti a carattere con nome, assorbendo il set di entità MathML, quindi nomi come ✓, ★ e ≂̸ oggi funzionano in tutti i browser attuali. Il conteggio include le grafie legacy senza il punto e virgola finale, come &amp e &copy, che i parser accettano ancora per compatibilità ma che è meglio non scrivere. Il codificatore qui produce i nomi HTML 4, ampiamente supportati, più ', e usa un riferimento numerico per tutto il resto; il decodificatore passa il testo al parser del browser, quindi comprende tutti i 2.231 nomi.

Solo & < > " ' è l'impostazione per l'uso quotidiano: esegue l'escape dei cinque caratteri che possono chiudere un nodo di testo o un attributo tra virgolette, il che basta per mostrare un esempio di codice in una pagina o inserire in sicurezza il testo degli utenti nell'HTML. Anche ogni carattere non ASCII trasforma in riferimenti anche é, € ed emoji, per i rari canali che non supportano UTF-8, come alcuni template email datati o sistemi che alterano le codifiche. Nome, Decimale ed Esadecimale cambiano solo il modo in cui si scrive un riferimento; tutti e tre si decodificano nello stesso carattere. Una pagina salvata in UTF-8 non richiede entità per le lettere accentate.

L'escape protegge solo il contesto HTML. Il testo inserito in un blocco script, in un gestore di eventi inline come onclick, in un attributo style o in un href che potrebbe iniziare con javascript: richiede un trattamento diverso, e la sola codifica delle entità non previene il cross-site scripting in questi casi. Framework come React eseguono l'escape del testo per impostazione predefinita, quindi il doppio escape è il bug più comune nelle app moderne: gli utenti vedono & dove dovrebbe esserci una e commerciale. Per rimuovere del tutto i tag, converti il markup con HTML in TXT; per l'escape negli URL usa Codifica e decodifica URL.