HTML 實體編碼與解碼工具

字元參照是只用 ASCII 寫出任意字元的方法。數字參照適用於任何 Unicode 碼位，可用十進位（é）或十六進位（é）。具名參照比較好記：HTML 4 定義了 252 個，涵蓋 é 這類 Latin-1 字母、希臘字母、數學符號，以及 —、… 等排版符號。奇怪的是 ' 並不在其中；它來自 XML，直到 HTML5 才成為有效的 HTML。

HTML5 把具名字元參照擴充到 2,231 個，並納入 MathML 的實體集，因此 ✓、★、≂̸ 這類名稱現在在所有主流瀏覽器都能使用。這個數量也包含沒有結尾分號的舊式寫法，例如 &amp 和 &copy，解析器為了相容性仍會接受，但你不應該這樣寫。這裡的編碼器會輸出廣泛支援的 HTML 4 名稱加上 '，其餘字元一律改用數字參照；解碼器則把文字交給瀏覽器本身的解析器處理，所以 2,231 個名稱全都看得懂。

Only & < > " ' 是日常使用的設定：它會跳脫五個可能結束文字節點或引號屬性的字元，足以在網頁上顯示程式碼範例，或把使用者輸入的文字安全地放進 HTML。Also every non-ASCII character 會把 é、€ 和表情符號也轉成參照，適用於少數無法傳送 UTF-8 的情況，例如某些舊式電子郵件範本，或會弄亂編碼的系統。Named、Decimal 和 Hex 只改變參照的寫法，三者解碼後都是同一個字元。以 UTF-8 儲存的網頁，帶重音的字母不需要使用實體。

跳脫只保護 HTML 情境，其他情境不在此列。插入 script 區塊、onclick 這類行內事件處理器、style 屬性，或可能以 javascript: 開頭的 href 的文字，需要另外處理，單靠實體編碼無法防止跨網站指令碼攻擊（XSS）。React 等框架預設就會跳脫文字，所以在現代應用程式中，重複跳脫反而是更常見的錯誤：使用者會在該顯示 & 的地方看到 &。若要完全移除標籤，請用 HTML 轉 TXT 轉換標記；若要跳脫網址內的字元，請使用 URL 編碼與解碼。