HTML实体编码与解码

字符引用是只用 ASCII 字符来书写任意字符的方式。数字引用适用于任何 Unicode 码位，可以用十进制（é）或十六进制（é）表示。命名引用更容易记忆：HTML 4 定义了 252 个，涵盖 é 等 Latin-1 字母、希腊字母、数学符号，以及 —、… 这类排版符号。有意思的是，' 并不在其中；它来自 XML，直到 HTML5 才成为有效的 HTML。

HTML5 把命名字符引用扩充到 2,231 个，并吸收了 MathML 的实体集，因此 ✓、★、≂̸ 这样的名称现在在所有主流浏览器中都能使用。这个数量包含不带结尾分号的旧式写法，例如 &amp 和 &copy，解析器出于兼容仍会接受，但你不应该这样写。这里的编码器输出兼容性广泛的 HTML 4 名称外加 '，其余字符回退为数字引用；解码器则把文本交给浏览器自带的解析器处理，因此能识别全部 2,231 个名称。

仅 & < > " ' 适合日常使用：它会转义可能结束文本节点或带引号属性的五个字符，足以在页面上展示代码示例，或把用户输入的文本安全地放进 HTML。同时转义所有非 ASCII 字符会把 é、€ 和 emoji 也转成引用，适用于少数无法传输 UTF-8 的场景，例如某些老式邮件模板或会破坏编码的系统。命名、十进制和十六进制只改变引用的写法，三者解码后得到的是同一个字符。以 UTF-8 保存的页面，带重音的字母不需要使用实体。

转义只保护 HTML 上下文，其他场景无效。插入 script 块、onclick 之类的内联事件处理器、style 属性，或可能以 javascript: 开头的 href 中的文本，需要另外的处理方式，仅靠实体编码无法防止这些位置的跨站脚本攻击。React 等框架默认会转义文本，所以在现代应用中更常见的错误是重复转义：用户在本该显示 & 的地方看到了 &。如果想彻底去掉标签，请用 HTML转TXT 转换标记；如需转义 URL 中的内容，请使用 URL编码与解码。