Text a kód / MULTIVERTO
Převeďte &, <, > a uvozovky na HTML entity, když potřebujete zobrazit text v HTML.
Každý textový nástroj použijte na předchozí výsledek.
01 / Postup
Speciální znaky se změní na HTML entity, například & na & a < na <. Nejde o sanitizaci HTML.
Zakódování textu pro obsah HTML nestačí pro JavaScript, CSS, URL ani všechny HTML atributy. Každý kontext vyžaduje vlastní ošetření.
02 / Příklad
<p class="pozdrav">Ahoj & vítej</p><p class="pozdrav">Ahoj & vítej</p>03 / Postup
Tento směr použijte, když má být doslovný text na stránce viditelný, aniž by prohlížeč považoval ostré závorky za značky. Zadáte-li <b>ahoj</b>, výstup obsahuje reference pro závorky a pozdější HTML parser může úryvek zobrazit jako text. Ampersand se ošetří jako první, aby se existující posloupnost podobná entitě nezpracovala nečekaně. Nástroj ošetřuje také uvozovky, ale výsledek tím není obecně bezpečný pro každý atribut nebo skript.
Nekódujte celý důvěryhodný HTML dokument, pokud chcete značky skutečně vykreslit: viděli byste jejich znaky místo formátovaného obsahu. U uživatelských komentářů upřednostněte textContent nebo bezpečné vkládání textu ve frameworku; tato rozhraní řeší správný kontext. Pokud se hodnota dostane do href, pravidla stylu nebo řetězce JavaScriptu, použijte bezpečné rozhraní určené právě pro toto místo.
HTML vyhrazuje znaky jako ampersand a ostré závorky pro značkování. Znakové reference umožňují zapsat je jako data: & například zastupuje ampersand a < znak menší než. Prohlížeč je interpretuje při zpracování HTML. Existují pojmenované i číselné reference, ale jejich význam závisí na kontextu, v němž je čte HTML parser. Text podobný entitě v obyčejném souboru ještě neznamená, že byl soubor vykreslen jako HTML.
Je důležité rozlišovat textový obsah a spustitelné značkování. Bezpečné zobrazení textu od uživatele na stránce není totéž jako vložení důvěryhodného HTML fragmentu. Textový uzel, atribut, URL, pravidlo CSS i řetězec JavaScriptu vyžadují odlišné ošetření. Převod entit je způsob zápisu, nikoli úplná bezpečnostní politika ani sanitizace HTML. Pro konkrétní místo vložení hodnoty použijte vhodné šablony nebo rozhraní DOM.
Začněte původním textem a ověřte, že cílová aplikace skutečně vyžaduje zakódovaný zápis. Vložte text nebo načtěte příklad a před kopírováním si prohlédněte výstup. Převod běží v tomto prohlížeči; text se neposílá na server ke konverzi. Tento směr mění zápis informace, nikoli význam věty. Při hledání chyby ponechte zdroj vedle výsledku a nekódujte dvakrát, pokud cílový formát výslovně nežádá dvě vrstvy.
Pokud potřebujete výsledek zpětně ověřit, uchovejte původní vstup. Zakódovaný zápis může vypadat úplně jinak než text, zejména u diakritiky, emoji, interpunkce či nových řádků. Před použitím výsledku v jiném programu zjistěte, jaké kódování znaků a přesný formát očekává. Nejprve zkuste krátký známý příklad a porovnejte výstup v cílové aplikaci: podobně vypadající formáty nemusejí být zaměnitelné.