Decodificador de entidades HTML

Leitura de caracteres codificados HTML

Use essa direção quando uma cadeia copiada contiver referências como &amp;, &lt; ou uma referência numérica e você precisar dos caracteres legíveis subjacentes. Uma sequência que representa um ampersand (&) volta a ser esse caractere; uma sequência representando o sinal de menor que (<) se torna esse caractere na saída. O conversor apresenta o resultado decodificado como texto simples. Isso é útil ao inspecionar logs, conteúdo exportado ou uma mensagem que foi escapada para exibição, porque as referências podem obscurecer a pontuação pretendida.

A saída não é uma promessa de que o texto é seguro para tratar como marcação. Por exemplo, decodificar uma referência para um colchete de abertura pode revelar uma sequência em forma de tag. Inserir o resultado mais tarde com innerHTML pode dar a essa sequência HTML significado, enquanto atribuir textContent o mantém como texto. Algumas referências são nomeadas e outras numéricas, e as regras de análise do navegador podem ser sutis. Quando o comportamento exato de ida e volta for importante, compare os bytes originais e o analisador de destino em vez de assumir que cada cadeia de caracteres com escape duplo precisa de apenas uma passagem de decodificação.

Referências de caracteres HTML e contexto do navegador

A distinção entre conteúdo de texto e marcação executável é importante. Apresentar o texto fornecido pelo usuário com segurança dentro de uma página é diferente de inserir um fragmento confiável do HTML. Da mesma forma, um nó de texto HTML, um atributo, um atributo de URL, uma regra CSS e uma cadeia JavaScript têm diferentes requisitos de escape. A conversão de entidade é uma etapa de representação útil, não uma política de segurança completa ou um sanitizer. Mantenha entradas não confiáveis fora de contextos perigosos e use as APIs de template ou DOM apropriadas para o local onde o valor será inserido.

Verifique a fonte codificada antes de decodificar

Comece com um valor que é realmente escrito na representação esperada. Cole um componente codificado ou sequência de bytes e, em seguida, compare a saída legível com o registro circundante que a forneceu. O decodificador é executado neste navegador e não carrega a cadeia de caracteres para um serviço de conversão. Se a entrada estiver danificada ou usar outro formato, ela poderá falhar ou permanecer parcialmente inalterada, dependendo da operação. Trate o texto decodificado como uma entrada nova, potencialmente não confiável. Uma frase legível ainda pode conter marcação, um URL, uma string de comando ou informações privadas que precisam ser tratadas separadamente. Use isso para inspecionar uma mensagem com entidades HTML de uma exportação HTML. Verifique se &amp; se torna um ampersand enquanto palavras comuns permanecem inalteradas, em seguida, compare-o com o registro original. Sinais de menor e maior decodificados podem se tornar marcação se inseridos em innerHTML; exibir o resultado como texto quando a fonte não é confiável. O exemplo da página transforma “&lt;p class=&quot;saudacao&quot;&gt;Olá &amp; bem-vindo&lt;/p&gt;” em “<p class="saudacao">Olá & bem-vindo</p>”. O resultado visível é mostrado aqui na íntegra; compare pontuação e caracteres antes de aplicar a mesma operação ao seu próprio material.