HTML escapen/unescapen
HTML escapen/unescapen wandelt HTML-Sonderzeichen lokal in Entitäten um oder dekodiert benannte, dezimale und hexadezimale Zeichenreferenzen für Tag-Anzeige und Codebeispiele.
Eingabetext
Schnellstart
Häufige Anwendungsfälle
Benutzerkommentare
Escape-Text, wenn Kommentare als einfacher Text in einem HTML-Inhaltskontext angezeigt werden sollen
Blog-Beiträge
Anzeige von HTML-Code-Beispielen in Artikeln
Forenbeiträge
Zeigen Sie benutzergenerierten Text an, ohne dass Tags als Markup gerendert werden
Chat-Nachrichten
Eingefügtes Markup als Text rendern, bevor es einen HTML-Inhaltsbereich erreicht
Formulardaten
Überprüfen und kopieren Sie maskierte Werte, bevor Sie übermittelten Text anzeigen
Code-Anzeige
Anzeige von HTML/JavaScript-Code-Snippets auf Webseiten
Escape‑Regeln und Entitäten
Flucht- und Desinfektionsgrenzen
Nutzungstipps
Einschränkungen und Kompatibilität
Datenschutz & Sicherheit
Häufige Fragen
XSS (Cross-Site Scripting) tritt auf, wenn nicht vertrauenswürdiger Inhalt als Skript oder Markup auf einer Seite interpretiert wird. Das HTML-Escape hilft in HTML-Inhaltskontexten, ist aber nur ein Teil der XSS-Prävention.
Verwenden Sie HTML-Escape, wenn nicht vertrauenswürdiger Text in einen HTML-Inhalts- oder Attributkontext eingefügt wird. Bevorzugen Sie textContent oder das Standard-Escapezeichen Ihres Frameworks für einfachen Text und verwenden Sie unterschiedliche Escapezeichen für JavaScript-, CSS-, URL- oder JSON-Kontexte.
Beide stehen für < (Kleiner‑als‑Zeichen). &lt; ist eine benannte Entität (lt = less‑than), &#60;/&#x3C; sind numerische/hexadezimale Entitäten. In modernem HTML verhalten sie sich gleich: &lt; ist lesbarer; &#60;/&#x3C; nutzen, wenn benannte Entitäten nicht unterstützt werden oder für beliebige Zeichen/über Markup‑Sprachen hinweg. Das abschließende Semikolon beibehalten (z. B. &lt;); ohne Semikolon kann der Parser mit folgenden Buchstaben „verkleben“, z. B. wird „&notin“ zu „&not;“+„in“ → „¬in“
Nein. HTML-Escape funktioniert nur für HTML-Entitätskontexte. JavaScript-Strings, CSS, URLs, JSON und Rich HTML erfordern alle eine unterschiedliche Handhabung.
Dies geschieht, wenn Inhalt zweimal escaped wird. Zuerst wird < zu &lt;, dann wird & zu &amp; escaped, was zu &amp;lt; führt. Vermeiden Sie wiederholtes Escaping
Verwenden Sie Sanitization, nicht dieses Escape-Tool. Ein Sanitizer kann sichere Tags und Attribute per Allowlist zulassen, Protokolle filtern und Ereignisse oder Styles entfernen. Verwenden Sie Bibliotheken wie DOMPurify oder sanitize-html, bereinigen Sie nach Möglichkeit serverseitig und nutzen Sie textContent für einfachen Text.