Encje HTML chronią znaki zarezerwowane w markupu. Kodowanie przy wyświetlaniu danych użytkownika; dekodowanie przy czytaniu cudzych payloadów.
Encje HTML
Encje HTML pozwalają bezpiecznie umieścić <, >, & i wiele nazwanych znaków w HTML. Służą do escapowania treści od użytkownika, nie do formatowania wyświetlania.
Encje HTML — kodowanie i dekodowanie
Escapuj &, <, >, ", ' do HTML albo dekoduj encje nazwane i numeryczne. Dekoder korzysta z parsera przeglądarki — rozumie pełną tabelę encji.
Surowy tekst
Zakodowany
<strong class="bwh">"Practical guides" — no fluff.</strong>
Typowe zastosowania
Próbki kodu
W <pre> trzeba zakodować < i >.
Echo formularza
Frameworki często robią to same; legacy — nie zawsze.
Feedy i RSS
Nadmierne encodowanie — trzeba odwrócić do podglądu.
Jak korzystać z narzędzia
- 1 Koduj / Dekoduj.
- 2 Wklej — na żywo.
- 3 Skopiuj.
Najczęstsze pytania
Encje nazwane?
Dekoder używa parsera HTML przeglądarki — pełna tabela.
XSS?
Encja to krok; CSP i szablony — reszta.
<textarea> i <title>?
Tak — encja też tam ma znaczenie.