Kodowanie i dekodowanie encji HTML

Pytania

Które znaki trzeba escapować w HTML?

& i < zawsze; > dla bezpieczeństwa; a " lub ' wewnątrz wartości atrybutów. Zakodowanie tych pięciu znaków wystarczy, by bezpiecznie wyświetlić tekst użytkownika w HTML.

Czy escapowanie chroni przed XSS?

Escapowanie danych wyjściowych odpowiednio do kontekstu to podstawowa ochrona tekstu i atrybutów HTML. Nie wystarcza jednak wewnątrz znaczników script, atrybutów obsługi zdarzeń ani URL-i, które wymagają własnego kodowania.

Czy muszę kodować znaki diakrytyczne?

Nie, jeśli strona jest serwowana w UTF-8, a tak jest w niemal każdej nowoczesnej stronie. Kodowanie wszystkich znaków spoza ASCII przydaje się tylko w systemach, które nie obsługują UTF-8.

Czym różni się &nbsp; od zwykłej spacji?

&nbsp; to twarda spacja, U+00A0. Przeglądarka nie złamie przy niej linii i, w przeciwieństwie do zwykłych spacji, nie scali kilku takich spacji w jedną. Używaj jej, aby trzymać razem wartości takie jak „10 km”. Do układu i odstępów używaj CSS zamiast ciągów &nbsp;.

Używać &apos; czy &#39; dla apostrofu?

Oba działają w HTML5 i XML, ale &apos; nie było częścią HTML 4, więc starsze parsery i niektóre klienty poczty go nie rozpoznają. &#39; działa wszędzie, dlatego ten koder go używa. Wewnątrz atrybutu w podwójnych cudzysłowach w ogóle nie musisz escapować apostrofu.

Czym różni się escapowanie HTML od kodowania URL?

Escapowanie HTML sprawia, że tekst jest bezpieczny wewnątrz HTML; kodowanie URL sprawia, że tekst jest bezpieczny wewnątrz URL-a. Link w atrybucie href potrzebuje obu: najpierw zakoduj procentowo każdą wartość zapytania, potem zescapuj cały URL dla HTML, tak by każdy & między parametrami stał się &amp;. Krok kodowania procentowego obsłuży narzędzie Kodowanie, dekodowanie i analiza URL.