Codificar / decodificar entidades HTML

Perguntas

Quais caracteres precisam ser escapados em HTML?

& e < sempre; > por segurança; e " ou ' dentro de valores de atributos. Escapar esses cinco basta para exibir texto do usuário com segurança em HTML.

O escape protege contra XSS?

Escapar a saída para o contexto certo é a principal defesa para texto e atributos HTML. Não basta dentro de tags script, atributos de manipuladores de eventos ou URLs, que precisam da sua própria codificação.

Preciso codificar letras acentuadas?

Não, se a sua página é servida em UTF-8, como quase toda página moderna. Codificar todos os não ASCII só é útil para sistemas que não lidam com UTF-8.

Qual é a diferença entre &nbsp; e um espaço normal?

&nbsp; é um espaço não separável, U+00A0. O navegador não quebra a linha nele e não junta vários deles em um só, ao contrário dos espaços normais. Use-o para manter valores como “10 km” juntos. Para layout e espaçamento, use CSS em vez de sequências de &nbsp;.

Devo usar &apos; ou &#39; para o apóstrofo?

Os dois funcionam em HTML5 e XML, mas &apos; não fazia parte do HTML 4, então parsers mais antigos e alguns clientes de e-mail não o reconhecem. &#39; funciona em qualquer lugar, e é por isso que este codificador o usa. Dentro de um atributo entre aspas duplas, você nem precisa escapar o apóstrofo.

Qual é a diferença entre HTML escaping e URL encoding?

O HTML escaping deixa o texto seguro dentro do HTML; o URL encoding deixa o texto seguro dentro de uma URL. Um link em um atributo href precisa dos dois: primeiro aplique percent-encoding em cada valor da query e depois escape a URL inteira para HTML, para que cada & entre os parâmetros vire &amp;. A ferramenta de URL cuida da etapa de percent-encoding.