HTML エンティティをデコード

HTML の文字参照を読み取る

コピーした文字列に &amp;、&lt;、または数値文字参照が含まれ、実際の文字を読みたいときに使います。アンパサンドを表す参照は & に、小なり記号を表す参照は < に戻ります。結果は HTML として描画せず、プレーンテキストとして表示します。ログ、エクスポートした記事、表示用にエスケープされたメッセージなどで、参照に隠れた句読点を確認するときに便利です。元の符号化済み文字列も残しておけば、どの文字が変わったか後から追えます。

出力をそのままマークアップとして扱って安全だという意味ではありません。例えば &lt; を復号すると、タグのように見える文字列が現れます。後で innerHTML に渡すと HTML として解釈され得ますが、textContent に割り当てればテキストのままです。名前付き参照と数値参照にはそれぞれ規則があり、ブラウザーの解析も一様ではありません。二重にエスケープされた文字列が必ず一回の復号で元に戻ると決めつけず、正確な往復が必要なら元のバイト列と送り先のパーサーを確認してください。

テキストとマークアップの違い

ページに利用者の文字列をテキストとして安全に表示することと、信頼できる HTML の断片を挿入することは別です。HTML のテキストノード、属性、URL 属性、CSS 規則、JavaScript の文字列では、それぞれ必要なエスケープが違います。文字参照の変換は表記を変える操作で、完全なサニタイズや安全性の保証ではありません。信頼できない内容を危険な位置へ直接入れず、挿入先に適したテンプレートや DOM API を使ってください。復号後の <script> という文字列も、テキスト表示なら文字列ですが、HTML として挿入すると解釈が変わります。

復号後のテキストを扱う

指定された形式で書かれた値から始めてください。符号化された要素やバイト列を貼り付け、読みやすくなった結果を元の記録と照合します。復号はこのブラウザー内で行われ、文字列を変換サービスへ送信しません。入力が壊れているか別形式なら、操作によってエラーになるか一部が変わらないことがあります。復号後のテキストは新たな未信頼の入力として扱ってください。読める文章でもマークアップ、URL、コマンドのような文字列、個人情報を含み得るため、別途適切に扱います。HTML の書き出しから得た文字参照入りの文章を調べる際に使います。&amp; が一つのアンパサンドになり、普通の単語は変わらないことを確認して元の記録と比べます。復号した山括弧を innerHTML に入れるとマークアップとして解釈されるため、未信頼の入力はテキストとして表示してください。このページの例では「&lt;p class=&quot;aisatsu&quot;&gt;こんにちは &amp; ようこそ&lt;/p&gt;」を「<p class="aisatsu">こんにちは & ようこそ</p>」へ変換します。表示結果を省略せず確認し、自分のデータに適用する前に句読点と文字を照合してください。