Dekoder entitas HTML

Membaca karakter HTML yang dienkode

Gunakan arah ini ketika string yang disalin berisi referensi seperti &, < atau referensi numerik dan Anda memerlukan karakter yang dapat dibaca. Sebuah urutan yang mewakili sebuah ampersand menjadi ampersand; sebuah urutan yang mewakili tanda kurang dari menjadi karakter itu dalam output. Konverter memperlihatkan hasil dekoding sebagai teks biasa. Ini berguna ketika memeriksa log, konten diekspor atau pesan yang telah dilepaskan untuk ditampilkan, karena referensi dapat menutupi tanda baca yang dimaksudkan.

Keluaran tidak menjanjikan bahwa teks tersebut aman untuk diperlakukan sebagai markup. Sebagai contoh, dekoding referensi untuk sebuah bracket pembukaan dapat mengungkapkan urutan berbentuk tag. Memasukkan hasil kemudian dengan innerHTML dapat memberikan urutan HTML arti, sementara mengalokasikan textContent menyimpannya sebagai teks. Beberapa referensi diberi nama dan yang lain numerik, dan aturan pembacaan browser dapat di nuansa. Ketika perilaku round-trip yang tepat penting, bandingkan byte asli dan pengurai HTML tujuan daripada mengasumsikan setiap string double-escaped hanya memerlukan satu dekoding pass.

Referensi karakter HTML dan konteks browser

Perbedaan antara konten teks dan pemrosesan markup penting. Menampilkan teks yang disediakan pengguna dengan aman di dalam halaman berbeda dari memasukkan fragmen yang dipercaya dari HTML. Demikian pula, sebuah node teks HTML, sebuah atribut, sebuah atribut URL, sebuah aturan CSS dan sebuah string JavaScript memiliki persyaratan escape yang berbeda. Konversi entitas adalah langkah representasi yang berguna, bukan kebijakan keamanan lengkap atau sanitasi. Jaga masukan yang tidak dipercaya dari konteks berbahaya, dan gunakan templating atau DOM API yang sesuai dengan tempat di mana nilai akan dimasukkan.

Periksa sumber yang dikodekan sebelum mendekode

Mulai dengan nilai yang sebenarnya ditulis dalam representasi yang diharapkan. Tempel satu komponen yang dikodekan atau urutan byte, lalu bandingkan keluaran yang dapat dibaca dengan rekaman sekitar yang menyediakannya. Dekoder berjalan di peramban ini dan tidak mengunggah string ke layanan konversi. Jika input rusak atau menggunakan format lain, mungkin gagal atau tetap sebagian tidak berubah, tergantung pada operasi. Perlakukan teks yang didekode sebagai masukan baru, yang mungkin tidak dipercaya. Sebuah kalimat yang dapat dibaca masih dapat berisi markup, URL, string seperti perintah atau informasi pribadi yang memerlukan pengendalian terpisah. Gunakan ini untuk memeriksa pesan yang penuh entitas dari ekspor HTML. Periksa bahwa &amp; menjadi satu ampersand sementara kata-kata biasa tetap tidak berubah, lalu bandingkan dengan rekaman asli. Bracket sudut yang di dekode dapat menjadi markup jika dimasukkan ke dalam innerHTML; menampilkan hasil sebagai teks ketika sumber tidak dipercaya. Contoh halaman mengubah "&lt;p class=&quot;salam&quot;&gt;Halo &amp; selamat datang&lt;/p&gt;" menjadi "<p class="salam">Halo & selamat datang</p>". Hasil yang terlihat di sini ditampilkan secara lengkap; bandingkan tanda baca dan karakter sebelum menerapkan operasi yang sama pada materi Anda sendiri.