Escapado/Desescapado de HTML
Escapa caracteres especiales HTML a entidades, o desescapa localmente referencias de caracteres con nombre, decimales y hexadecimales para mostrar etiquetas y ejemplos de código.
Texto de entrada
Caracteres
0 / 50,000
Inicio rápido
Escenarios comunes
Comentarios de usuario
escapa texto no confiable antes de mostrarlo dentro de un área de contenido HTML.
Publicaciones de blog
muestra etiquetas HTML y fragmentos de código en artículos.
Publicaciones de foro
muestra texto de usuarios sin permitir que las etiquetas pegadas se rendericen como marcado.
Mensajes de chat
convierte marcado pegado en texto visible antes de que llegue a un área HTML.
Datos de formulario
revisa y copia valores escapados antes de mostrar el texto enviado.
Visualización de código
muestra fragmentos HTML o JavaScript en páginas web.
Reglas de escape y entidades
Límites entre escape y sanitization
Consejos de uso
Limitaciones y compatibilidad
Privacidad y seguridad
Preguntas frecuentes
XSS (Cross-Site Scripting) ocurre cuando contenido no confiable se interpreta como script o marcado dentro de una página. El escape HTML ayuda en contextos de contenido HTML, pero solo es una parte de la prevención de XSS.
Usa escape HTML cuando texto no confiable se inserta en un contexto de contenido o atributo HTML. Para texto plano, prefiere textContent o el escape predeterminado del framework; usa reglas distintas para JavaScript, CSS, URL o JSON.
Ambos representan <. < es una entidad con nombre; < y < son referencias de caracteres decimal y hexadecimal. En HTML moderno normalmente se comportan igual. Mantén el punto y coma final para evitar que el parser una la entidad con letras siguientes.
No. El escape HTML solo funciona en contextos de entidades HTML. Las cadenas JavaScript, CSS, URL, JSON y HTML enriquecido requieren tratamientos distintos.
Sucede cuando el contenido se escapa dos veces. Primero < se convierte en <; después el & dentro de < se convierte en &, y se muestra &lt;. Evita volver a escapar texto que ya está escapado.
Usa sanitization, no esta herramienta de escape. Un sanitizer puede mantener una lista permitida de etiquetas y atributos, filtrar protocolos y eliminar eventos o estilos. Usa DOMPurify o sanitize-html, sanitiza en el servidor cuando sea posible y usa textContent para texto plano.