Codificador e decodificador de entidades HTML

Uma referência de caractere é uma forma de escrever um caractere usando apenas ASCII. As referências numéricas funcionam para qualquer ponto de código Unicode, em decimal (é) ou hexadecimal (é). As referências nomeadas são mais fáceis de lembrar: o HTML 4 definiu 252 delas, cobrindo letras do Latin-1 como é, letras gregas, símbolos matemáticos e marcas tipográficas como — e …. Curiosamente, ' não estava entre elas; veio do XML e só passou a ser válida em HTML com o HTML5.

O HTML5 ampliou a lista para 2.231 referências de caracteres nomeadas, incorporando o conjunto de entidades do MathML, de modo que nomes como ✓, ★ e ≂̸ agora funcionam em todos os navegadores atuais. A contagem inclui grafias antigas sem o ponto e vírgula final, como &amp e &copy, que os parsers ainda aceitam por compatibilidade, mas que você não deve escrever. O codificador daqui gera os nomes do HTML 4, que têm amplo suporte, mais ', e recorre a uma referência numérica para todo o resto; o decodificador entrega o texto ao parser do próprio navegador, então entende todos os 2.231 nomes.

Apenas & < > " ' é a configuração para o trabalho do dia a dia: escapa os cinco caracteres que podem encerrar um nó de texto ou um atributo entre aspas, o que basta para exibir um exemplo de código em uma página ou colocar texto de usuário com segurança dentro do HTML. Também todos os caracteres não ASCII transforma é, € e emojis em referências também, para os raros canais que não suportam UTF-8, como alguns modelos de e-mail antigos ou sistemas que corrompem codificações. Nomeada, Decimal e Hex só mudam a forma de escrever a referência; as três são decodificadas para o mesmo caractere. Uma página salva em UTF-8 não precisa de entidades para letras acentuadas.

O escape protege apenas o contexto HTML e nada além disso. Texto inserido em um bloco de script, em um manipulador de evento inline como onclick, em um atributo style ou em um href que possa começar com javascript: exige tratamento diferente, e a codificação de entidades sozinha não evita cross-site scripting nesses casos. Frameworks como o React escapam o texto por padrão, então o escape duplo é o bug mais comum em aplicativos modernos: os usuários veem & onde deveria haver um e comercial. Para remover as tags por completo, converta a marcação com HTML para TXT; para escapar dentro de URLs, use Codificar e decodificar URL.