HTML Entities
HTML-Entities escapen in HTML besonders bedeutungstragende Zeichen (<, >, &, ") in die Form &name; oder &#NNN;, sodass sie buchstäblich angezeigt statt als Markup geparst werden.
Zweck
Sie verhindern, dass Nutzereingaben oder dynamische Inhalte im Browser als HTML-Tags ausgeführt werden, und sind eine grundlegende XSS-Abwehr.
Mechanismus
Benannte Entities wie < > & " ' decken die 5 in XML vordefinierten Zeichen ab. Numerische Entities &#NNN; nutzen einen dezimalen Codepunkt, &#xNNN; einen hexadezimalen. Beim Dekodieren werden sie gemäß der Entity-Tabelle der DTD expandiert.
Anwendungsfälle
- < > & als Text in HTML anzeigen
- Output-Escaping gegen XSS
- Sonderzeichen in HTML-E-Mails
- XML-Content-Escaping
Beispiele
- Eingabe
<script>Output<script>After escaping, the browser shows text instead of executing a script
Häufige Fehler
- Escaping only < and > while missing quotes, enabling XSS in attribute contexts
- Escape by context: text needs < > &; attributes additionally need " and '
Verwandte Begriffe
URL Encoding
Die URL-Kodierung (Percent-Encoding) wandelt in URLs unzulässige Zeichen in die Form %HH um, sodass beliebige Daten sicher in URL-Komponenten stehen können. GLOSSAR
XSS
XSS (Cross-Site Scripting) ist der Angriff, bei dem ein Angreifer bösartige Skripte in eine Seite einschleust, die im Browser anderer Nutzer ausgeführt werden; es gibt gespeicherte, reflektierte und DOM-basierte Formen. GLOSSAR
Unicode
Unicode ist der internationale Zeichenkodierungsstandard, der fast jedem Zeichen der Schriftsysteme der Welt einen eindeutigen Codepunkt (U+0000 bis U+10FFFF) zuweist, mit einem Coderaum von 1.114.112 Punkten. GLOSSAR
Verwandte Tools
HTML-Entity-Kodierer
Encode text to HTML entities online. Kostenlos, privat und 100% clientseitig. WERKZEUG
HTML-Entity-Dekodierer
Decode HTML entities back to readable text online. Kostenlos, privat und 100% clientseitig. WERKZEUG
HTML-Escape
Escape or unescape HTML special characters online. Kostenlos, privat und 100% clientseitig. WERKZEUG