HTML エンティティ エンコード / デコード

よくある質問

HTML ではどの文字をエスケープする必要がありますか？

& と < は常に、> は念のため、" と ' は属性値の中でエスケープします。この 5 つをエスケープすれば、ユーザーのテキストを HTML に安全に表示できます。

エスケープで XSS を防げますか？

出力を文脈に合わせてエスケープすることは、HTML のテキストや属性に対する防御の基本です。ただし、script タグの中、イベントハンドラー属性、URL では十分ではなく、それぞれに専用のエンコードが必要です。

アクセント付きの文字はエンコードが必要ですか？

ページが UTF-8 で配信されていれば不要で、最近のページはほぼすべて UTF-8 です。非 ASCII 文字をすべてエンコードするのは、UTF-8 を扱えないシステムの場合にのみ役立ちます。

&nbsp; と通常のスペースの違いは？

&nbsp; はノーブレークスペース（U+00A0）です。通常のスペースと違い、ブラウザーはそこで行を折り返さず、複数続いても 1 つにまとめません。「10 km」のような値を離さずに表示したいときに使います。レイアウトや余白には、&nbsp; を並べるのではなく CSS を使ってください。

アポストロフィには &apos; と &#39; のどちらを使うべき？

どちらも HTML5 と XML で使えますが、&apos; は HTML 4 には含まれていなかったため、古いパーサーや一部のメールクライアントは認識しません。&#39; はどこでも使えるため、このエンコーダーはこちらを使います。ダブルクォートで囲んだ属性の中では、アポストロフィをエスケープする必要はまったくありません。

HTML エスケープと URL エンコードの違いは？

HTML エスケープは HTML の中でテキストを安全にし、URL エンコードは URL の中でテキストを安全にします。href 属性内のリンクには両方が必要です。まず各クエリの値をパーセントエンコードし、次に URL 全体を HTML エスケープすると、パラメーター間の & はすべて &amp; になります。パーセントエンコードの段階は URL ツールで行えます。