Pengode entitas HTML

Mengenkode teks untuk node teks HTML

Gunakan arah ini ketika teks literal harus muncul di dalam halaman HTML tanpa peramban memperlakukan kurung sudut sebagai tag. Jika Anda memasukkan snippet seperti <b>hello</b>, keluaran berisi referensi untuk tanda kurung sudut, sehingga pembacaan HTML kemudian dapat menampilkan snippet sebagai teks. Ampersands dilepaskan pertama; jika tidak, urutan entitas-seperti yang ada dapat disalahartikan sebagai markup selama perjalanan lain. Kutipan juga dihindari oleh alat ini, tetapi itu tidak membuat hasil universal aman dalam setiap jenis atribut atau skrip.

Jangan enkode seluruh dokumen HTML yang dipercaya ketika Anda berencana untuk merender tag-nya: Anda akan melihat karakter tag bukan isi yang diformat. Untuk komentar yang dikirimkan oleh pengguna, lebih baik menunjuk textContent atau binding teks aman kerangka kerja; API-API tersebut mengelola konteks yang benar. Jika nilai akan masuk ke dalam href, aturan gaya atau JavaScript literal, pilih encoder atau API aman untuk tujuan spesifik itu daripada menggunakan kembali HTML teks escape.

Referensi karakter HTML dan konteks browser

HTML menyimpan karakter seperti ampersand dan bracket sudut untuk markup. Referensi karakter memungkinkan dokumen untuk mewakili karakter-karakter tersebut sebagai data: misalnya, sebuah ampersand dapat ditulis sebagai &amp;, sementara tanda kurang dari dapat ditulis sebagai &lt;. Browser menginterpretasikan referensi ketika menganalisis HTML. Referensi yang dinamai dan referensi numerik keduanya mungkin, tetapi sebuah referensi hanya berarti dalam konteks di mana pembacaan HTML mengkonsumsinya. Melihat teks entitas-seperti dalam berkas teks biasa tidak berarti berkas itu sendiri telah dirender sebagai HTML.

Menggunakan konverter

Mulai dengan teks asli dan konfirmasikan bahwa aplikasi penerima sebenarnya meminta representasi terkode. Tempel teks atau muat contoh, lalu periksa keluaran sebelum menyalinnya. Konversi terjadi di peramban ini; teks yang dimasukkan tidak diunggah ke layanan konversi. Arah ini mengubah bagaimana informasi ditulis, bukan makna dari sebuah kalimat. Simpan masukan asli ketika Anda perlu mengaudit hasil. Sebuah representasi terkode dapat terlihat sangat berbeda dari teks dasar, terutama ketika aksen, emoji, tanda baca atau pembagian baris hadir. Ketika sebuah halaman harus menunjukkan tag literal seperti <strong> daripada menafsirkannya, encode teks itu sebelum meletakkannya dalam node teks HTML. Bandingkan halaman yang ditampilkan dengan karakter sumber, termasuk ampersand dan kutipan. Nilai atribut, URL, CSS dan JavaScript memerlukan pengendalian kontekstual mereka sendiri; hasil ini bukan sanitasi HTML. Contoh halaman mengubah "<p class="salam">Halo & selamat datang</p>" menjadi "&lt;p class=&quot;salam&quot;&gt;Halo &amp; selamat datang&lt;/p&gt;". Hasil yang terlihat di sini ditampilkan secara lengkap; bandingkan tanda baca dan karakter sebelum menerapkan operasi yang sama pada materi Anda sendiri.