HTML エンティティへエンコード

HTML のテキストとして表示するために符号化する

HTML ページに <b>hello</b> のような文字列をタグとして実行せず、そのまま表示したいときに使います。山括弧を文字参照に変えると、後で HTML として解析されても、ブラウザーはその断片をテキストとして表示できます。アンパサンドも符号化するため、元の文字列に含まれるエンティティのような並びを誤って解釈しにくくなります。このツールは引用符も変換しますが、結果があらゆる HTML 属性やスクリプトで安全になるわけではありません。挿入先の文脈に合った処理を選んでください。

タグを描画したい信頼済みの HTML 文書全体をエンコードすると、整形された内容の代わりにタグの文字が表示されます。利用者が投稿したコメントをテキストとして示す場合は、textContent やフレームワークの安全なテキスト結合を使ってください。これらの API は挿入先の文脈に適した扱いをします。値を href、スタイル規則、JavaScript の文字列リテラルへ入れるなら、HTML のテキスト用エスケープを流用せず、その挿入先に合うエンコーダーまたは安全な API を選びます。

文字参照と使う場所

HTML ではアンパサンドや山括弧がマークアップの構文に使われます。文字参照を使えば、たとえば & を &amp;、< を &lt; としてデータの中に書けます。ブラウザーは HTML を解析するときにそれらを元の文字として読み取ります。名前付き参照と数値参照がありますが、どちらも HTML パーサーがその位置の文字列をどう扱うかに依存します。単なるテキストファイルに &amp; と書かれていても、そのファイルが HTML として表示されたことにはなりません。

変換結果を確認する

元のテキストを使い、受け取り側が符号化した表現を要求しているか確認してください。テキストを貼り付けるか例を読み込み、結果を確認してからコピーします。処理はこのブラウザー内で行われ、入力は変換サービスへ送信されません。変わるのは情報の書き方であり、文の意味ではありません。結果を後で検証する必要があれば元の入力を残してください。アクセント記号、絵文字、句読点、改行があると、符号化後の文字列は元の見た目と大きく異なる場合があります。ページ上で <strong> のようなタグを解釈せず文字として表示したいときは、HTML のテキストノードへ入れる前に符号化します。表示ページと元の文字列を比べ、アンパサンドや引用符も確認してください。属性値、URL、CSS、JavaScript にはそれぞれ文脈に応じた処理が必要です。この結果は HTML のサニタイズではありません。このページの例では「<p class="aisatsu">こんにちは & ようこそ</p>」を「&lt;p class=&quot;aisatsu&quot;&gt;こんにちは &amp; ようこそ&lt;/p&gt;」へ変換します。表示結果を省略せず確認し、自分のデータに適用する前に句読点と文字を照合してください。