Koder i dekoder encji HTML

Odwołanie do znaku (ang. character reference) pozwala zapisać dowolny znak przy użyciu samego ASCII. Odwołania numeryczne działają dla każdego punktu kodowego Unicode, w zapisie dziesiętnym (é) lub szesnastkowym (é). Odwołania nazwane łatwiej zapamiętać: HTML 4 zdefiniował ich 252, obejmują litery Latin-1, takie jak é, litery greckie, symbole matematyczne i znaki typograficzne, np. — i …. Co ciekawe, ' nie było wśród nich; pochodzi z XML i stało się poprawne w HTML dopiero wraz z HTML5.

HTML5 rozszerzył listę do 2231 nazwanych odwołań do znaków, włączając zestaw encji MathML, więc nazwy takie jak ✓, ★ i ≂̸ działają dziś w każdej aktualnej przeglądarce. W tej liczbie mieszczą się dawne zapisy bez końcowego średnika, np. &amp i &copy, które parsery nadal akceptują dla zgodności, ale których nie należy pisać. Koder w tym narzędziu tworzy powszechnie obsługiwane nazwy z HTML 4 oraz ', a dla wszystkich pozostałych znaków używa odwołania numerycznego; dekoder przekazuje tekst do wbudowanego parsera przeglądarki, więc rozumie wszystkie 2231 nazw.

Tylko & < > " ' to ustawienie do codziennej pracy: zamienia pięć znaków, które mogą zakończyć węzeł tekstowy lub atrybut w cudzysłowie, co wystarcza, aby pokazać na stronie przykład kodu albo bezpiecznie umieścić tekst użytkownika w HTML. Także każdy znak spoza ASCII zamienia na odwołania również é, € i emoji, na użytek rzadkich kanałów, które nie obsługują UTF-8, jak niektóre starsze szablony e-mail lub systemy psujące kodowanie. Nazwane, Dziesiętne i Szesnastkowe zmieniają tylko sposób zapisu odwołania; wszystkie trzy dekodują się do tego samego znaku. Strona zapisana w UTF-8 nie wymaga encji dla liter z akcentami.

Escapowanie chroni wyłącznie kontekst HTML. Tekst wstawiany do bloku script, do inline'owej obsługi zdarzeń, takiej jak onclick, do atrybutu style lub do href, który może zaczynać się od javascript:, wymaga innego traktowania, a sama zamiana na encje nie chroni tam przed cross-site scripting. Frameworki takie jak React domyślnie escapują tekst, dlatego w nowoczesnych aplikacjach częstszym błędem jest podwójne escapowanie: użytkownicy widzą & tam, gdzie powinien być znak &. Aby całkiem usunąć znaczniki, przekonwertuj kod za pomocą HTML na TXT; do escapowania w adresach URL użyj kodowania i dekodowania URL.