HTMLエンティティ変換（エンコード・デコード）

文字参照は、ASCII文字だけで任意の文字を書き表す方法です。数値参照はあらゆるUnicodeコードポイントに使え、10進数(é)でも16進数(é)でも書けます。名前付き参照は覚えやすく、HTML 4では252個が定義されており、éのようなLatin-1の文字、ギリシャ文字、数学記号、—や…といった約物が含まれます。意外なことに'はその中に入っていませんでした。これはXML由来で、HTMLで正式に使えるようになったのはHTML5からです。

HTML5ではMathMLの実体セットを取り込み、名前付き文字参照が2,231個に増えました。そのため✓、★、≂̸などの名前も、現在のすべてのブラウザーで使えます。この数には、&ampや&copyのようにセミコロンを省いた従来の書き方も含まれます。パーサーは互換性のために受け付けますが、自分で書くのは避けてください。ここのエンコーダーは、広く対応しているHTML 4の名前と'を出力し、それ以外の文字は数値参照に切り替えます。デコーダーはテキストをブラウザー自身のパーサーに渡すので、2,231個の名前すべてに対応しています。

Only & < > " ' は日常の作業向けの設定です。テキストノードや引用符付き属性を終わらせてしまう可能性のある5文字をエスケープするので、ページにコードサンプルを表示したり、ユーザーの入力テキストをHTMLに安全に埋め込んだりするには十分です。Also every non-ASCII character は、é、€、絵文字も参照に変換します。古いメールテンプレートや文字コードが壊れるシステムなど、UTF-8を扱えないまれな経路向けです。Named、Decimal、Hex は参照の書き方が違うだけで、3つとも同じ文字にデコードされます。UTF-8で保存したページなら、アクセント付き文字にエンティティは不要です。

エスケープが守るのはHTMLの文脈だけです。scriptブロック、onclickのようなインラインイベントハンドラー、style属性、javascript:で始まる可能性のあるhrefに入れるテキストは別の対処が必要で、エンティティ化だけではクロスサイトスクリプティングを防げません。Reactなどのフレームワークは標準でテキストをエスケープするため、最近のアプリでは二重エスケープのほうがよくある不具合です。アンパサンドのはずの場所に&と表示されてしまいます。タグを完全に取り除きたい場合はHTMLをTXTに変換でマークアップを変換してください。URL内のエスケープにはURLエンコード・デコードを使います。