Koding og dekoding av HTML-entiteter

En tegnreferanse er en måte å skrive et tegn på med bare ASCII. Numeriske referanser fungerer for alle Unicode-kodepunkter, i desimal (é) eller heksadesimal (é). Navngitte referanser er lettere å huske: HTML 4 definerte 252 av dem, som dekker Latin-1-bokstaver som é, greske bokstaver, matematiske symboler og typografiske tegn som — og …. Merkelig nok var ikke ' blant dem; den kom fra XML og ble først gyldig HTML med HTML5.

HTML5 utvidet listen til 2 231 navngitte tegnreferanser og tok opp MathML-entitetene, så navn som ✓, ★ og ≂̸ nå fungerer i alle moderne nettlesere. Antallet inkluderer eldre skrivemåter uten avsluttende semikolon, som &amp og &copy, som parsere fortsatt godtar av kompatibilitetshensyn, men som du ikke bør skrive. Koderen her bruker de godt støttede HTML 4-navnene pluss ', og faller tilbake på en numerisk referanse for alt annet. Dekoderen sender teksten til nettleserens egen parser, så den forstår alle de 2 231 navnene.

Bare & < > " ' er innstillingen for vanlig bruk: den escaper de fem tegnene som kan avslutte en tekstnode eller en attributtverdi i anførselstegn, og det er nok til å vise et kodeeksempel på en side eller sette inn brukertekst trygt i HTML. Også alle tegn utenfor ASCII gjør også é, € og emojier om til referanser, for sjeldne kanaler som ikke kan bære UTF-8, for eksempel enkelte eldre e-postmaler eller systemer som ødelegger tegnkodinger. Navngitt, Desimal og Heksadesimal endrer bare hvordan en referanse skrives; alle tre dekodes til samme tegn. En side lagret som UTF-8 trenger ingen entiteter for bokstaver med aksent.

Escaping beskytter bare HTML-konteksten. Tekst som settes inn i en script-blokk, en innebygd hendelsesbehandler som onclick, et style-attributt eller en href som kan starte med javascript:, krever annen håndtering, og entitetskoding alene hindrer ikke cross-site scripting der. Rammeverk som React escaper tekst som standard, så dobbel escaping er den vanligste feilen i moderne apper: brukerne ser & der det skulle vært en og-tegn. Hvis du vil fjerne tagger helt, kan du konvertere markeringen med HTML til TXT. For escaping i URL-er, bruk URL-koding og dekoding.