HTML-Entitäten
Maskieren Sie Markup-Zeichen, damit sie als Text angezeigt werden, oder dekodieren Sie sie wieder.
- Läuft in Ihrem Browser — Ihr Text wird nirgendwohin gesendet
- Ohne Anmeldung, ohne Kontingent, so oft nutzbar, wie Sie möchten
So funktioniert es
Wer nicht vertrauenswürdigen Text ohne Maskierung in eine Webseite einfügt, ermöglicht Cross-Site-Scripting. Die Kodierung wandelt die Zeichen, die ein Browser als Markup behandelt, in Entitäten um, sodass sie angezeigt statt ausgeführt werden.
Was kodiert wird
Die fünf wichtigen Zeichen: kaufmännisches Und, Kleiner-als, Größer-als, doppeltes Anführungszeichen und Apostroph. Das kaufmännische Und muss zuerst kodiert werden, sonst wird alles, was danach folgt, doppelt kodiert.
Dekodierung
Die Dekodierung wandelt benannte und numerische Entitäten mit dem Parser des Browsers statt mit einer Nachschlagetabelle zurück in Zeichen, sodass der gesamte Umfang korrekt verarbeitet wird.
Was genau kodiert wird
Die Kodierung ersetzt fünf Zeichen: & wird zu &, < wird zu <, > wird zu >, " wird zu " und ' wird zu '. Das genügt, um Text sicher innerhalb von HTML und innerhalb von Attributen in Anführungszeichen anzuzeigen. Buchstaben mit Akzent und Emoji bleiben unverändert, weil UTF-8-Seiten sie direkt darstellen.
Dekodierung
Die Dekodierung versteht jede in HTML definierte benannte Entität, etwa é, — und , sowie numerische Entitäten in dezimaler oder hexadezimaler Schreibweise (é, é), weil sie den HTML-Parser Ihres Browsers verwendet.
HTML-Entitäten – Fragen
Macht das meine Website sicher vor XSS?
Das Maskieren der Ausgabe ist ein notwendiger Teil davon, doch die Sicherheit hängt davon ab, im richtigen Kontext zu maskieren. Nutzen Sie die Maskierung Ihres Frameworks, sofern Sie eines haben.
Welche Zeichen werden kodiert?
Kaufmännisches Und, Kleiner-als, Größer-als, doppeltes Anführungszeichen und Apostroph – die Zeichen, die ein Browser sonst als Markup lesen würde.
Wird mein Text hochgeladen?
Nein. Die Kodierung läuft auf der Seite.