HTML-entiteiten coderen en decoderen

Een tekenverwijzing is een manier om een teken alleen met ASCII te schrijven. Numerieke verwijzingen werken voor elk Unicode-codepunt, decimaal (é) of hexadecimaal (é). Benoemde verwijzingen zijn makkelijker te onthouden: HTML 4 definieerde er 252, met Latin-1-letters zoals é, Griekse letters, wiskundige symbolen en typografische tekens zoals — en …. Opvallend genoeg zat ' daar niet bij; die komt uit XML en werd pas met HTML5 geldig in HTML.

HTML5 breidde de lijst uit tot 2.231 benoemde tekenverwijzingen en nam daarbij de MathML-entiteitenset over, zodat namen als ✓, ★ en ≂̸ nu in elke actuele browser werken. Het aantal omvat ook oudere schrijfwijzen zonder afsluitende puntkomma, zoals &amp en &copy, die parsers om compatibiliteitsredenen nog accepteren maar die u niet moet schrijven. De encoder hier gebruikt de breed ondersteunde HTML 4-namen plus ' en valt voor al het andere terug op een numerieke verwijzing; de decoder geeft de tekst aan de eigen parser van de browser, zodat alle 2.231 namen worden begrepen.

Alleen & < > " ' is de instelling voor dagelijks gebruik: die escapet de vijf tekens die een tekstknooppunt of een attribuut tussen aanhalingstekens kunnen afsluiten, genoeg om een codevoorbeeld op een pagina te tonen of gebruikerstekst veilig in HTML te plaatsen. Ook elk niet-ASCII-teken zet é, € en emoji eveneens om in verwijzingen, voor het zeldzame kanaal dat geen UTF-8 aankan, zoals sommige oude e-mailtemplates of systemen die coderingen verhaspelen. Benoemd, Decimaal en Hex veranderen alleen hoe een verwijzing is geschreven; alle drie worden gedecodeerd naar hetzelfde teken. Een pagina die als UTF-8 is opgeslagen heeft geen entiteiten nodig voor letters met accenten.

Escapen beschermt alleen de HTML-context en niets anders. Tekst in een scriptblok, een inline event handler zoals onclick, een style-attribuut of een href die met javascript: kan beginnen, vraagt om een andere aanpak, en entiteitscodering alleen voorkomt daar geen cross-site scripting. Frameworks zoals React escapen tekst standaard, dus dubbel escapen is in moderne apps de vaker voorkomende fout: gebruikers zien & waar een ampersand hoort te staan. Wilt u tags helemaal verwijderen, converteer de opmaak dan met HTML naar TXT; voor escapen binnen URL's gebruikt u URL coderen en decoderen.