HTML Entities

HTML 实体是将 HTML 中有特殊含义的字符（<、>、&、"）转义为 &name; 或 &#NNN; 形式，以字面量显示而非被解析为标记。

用途

防止用户输入或动态内容被浏览器当作 HTML 标签执行，是防御 XSS 的基础手段。

机制

命名实体如 < > & " ' 对应 5 个 XML 预定义字符。数字实体 &#NNN; 用十进制码点，&#xNNN; 用十六进制。解码时按 DTD 实体表展开。

用例

在 HTML 文本中显示 < > & 等字符
防御 XSS 的输出转义
HTML 邮件中的特殊符号
XML 内容转义

示例

输入
```
<script>
```
输出
```
&lt;script&gt;
```
After escaping, the browser shows text instead of executing a script

常见错误

Escaping only < and > while missing quotes, enabling XSS in attribute contexts: Escape by context: text needs < > &; attributes additionally need " and '

相关词条

URL 编码（百分号编码）将 URL 中不允许的特殊字符转换为 %HH 形式，使任意数据可安全出现在 URL 组件中。

XSS（跨站脚本）是攻击者将恶意脚本注入网页，在其他用户浏览器中执行的漏洞，分为存储型、反射型与 DOM 型。

Unicode 是国际字符编码标准，为世界上几乎所有书写系统的每个字符分配唯一码点（U+0000 至 U+10FFFF），共 1,114,112 个码点空间。

相关工具

HTML 实体编码器

将文本编码为 HTML 实体。免费、隐私优先、100% 纯客户端运行。

HTML 实体解码器

将 HTML 实体解码为可读文本。免费、隐私优先、100% 纯客户端运行。

在线转义或反转义 HTML 特殊字符。免费、隐私本地化、100% 客户端运行。将 & < > " ' 转义为 HTML 实体（& < > " '），防止 XSS 和 HTML 结构破坏，适合用户输入嵌入、模板渲染和代码展示场景。

参考链接