Codificare și decodificare entități HTML

O referință de caracter este o modalitate de a scrie un caracter folosind doar ASCII. Referințele numerice funcționează pentru orice punct de cod Unicode, în zecimal (é) sau în hexazecimal (é). Referințele cu nume sunt mai ușor de reținut: HTML 4 a definit 252, care acoperă litere Latin-1 precum é, litere grecești, simboluri matematice și semne tipografice precum — și …. Curios, ' nu se număra printre ele; provine din XML și a devenit valid în HTML abia odată cu HTML5.

HTML5 a extins lista la 2.231 de referințe de caractere cu nume, preluând setul de entități MathML, astfel că nume precum ✓, ★ și ≂̸ funcționează acum în toate browserele actuale. Numărul include variante vechi fără punct și virgulă final, precum &amp și &copy, pe care parserele le acceptă încă din motive de compatibilitate, dar pe care nu ar trebui să le scrieți. Encoderul de aici produce numele HTML 4, larg acceptate, plus ', iar pentru restul folosește o referință numerică; decodorul trimite textul către parserul propriu al browserului, deci înțelege toate cele 2.231 de nume.

Doar & < > " ' este setarea pentru uz obișnuit: scapă cele cinci caractere care pot încheia un nod de text sau un atribut între ghilimele, ceea ce ajunge pentru a afișa un exemplu de cod într-o pagină sau pentru a introduce în siguranță text de la utilizatori în HTML. Și orice caracter non-ASCII transformă și é, € și emoji în referințe, pentru cazurile rare în care canalul nu poate transporta UTF-8, precum unele șabloane vechi de e-mail sau sisteme care strică codificările. Cu nume, Zecimal și Hex schimbă doar felul în care este scrisă o referință; toate trei se decodează în același caracter. O pagină salvată în UTF-8 nu are nevoie de entități pentru literele cu diacritice.

Escaparea protejează doar contextul HTML, nimic altceva. Textul inserat într-un bloc script, într-un handler de eveniment inline precum onclick, într-un atribut style sau într-un href care poate începe cu javascript: cere alt tratament, iar codarea în entități nu previne singură cross-site scripting în aceste cazuri. Framework-uri precum React scapă textul implicit, așa că dubla escapare este eroarea mai frecventă în aplicațiile moderne: utilizatorii văd & acolo unde ar trebui să fie un ampersand. Pentru a elimina complet etichetele, convertiți codul cu HTML în TXT; pentru escaparea în URL-uri folosiți Codare și decodare URL.