Escape e unescape HTML
Esegui l'escape dei caratteri speciali HTML in entità, oppure l'unescape di riferimenti a caratteri denominati, decimali ed esadecimali in locale per mostrare tag ed esempi di codice.
Testo in ingresso
Caratteri
0 / 50,000
Avvio rapido
Scenari comuni
Commenti utente
testo di escape quando è necessario che i commenti vengano visualizzati come testo normale all'interno di un contesto di contenuto HTML
Articoli di blog
mostra esempi di codice HTML all’interno dei contenuti.
Post del forum
mostra il testo generato dall'utente senza consentire il rendering dei tag come markup
Messaggi di chat
visualizza il markup incollato come testo prima che raggiunga un'area di contenuto HTML
Dati del modulo
controlla e copia i valori sottoposti a escape prima di visualizzare il testo inviato
Visualizzazione codice
mostra snippet HTML/JavaScript nelle pagine web.
Regole di escape e entità
Confini di fuga vs sanificazione
Consigli d'uso
Limitazioni e compatibilità
Privacy e sicurezza
Domande frequenti
XSS (Cross-Site Scripting) si verifica quando il contenuto non attendibile viene interpretato come script o markup in una pagina. L'escape di HTML è utile nei contesti di contenuto HTML, ma è solo una parte della prevenzione XSS.
Utilizzare l'escape HTML quando viene inserito testo non attendibile in un contesto di contenuto o attributo HTML. Preferisci textContent o l'escape predefinito del tuo framework per il testo semplice e utilizza un'escape diversa per i contesti JavaScript, CSS, URL o JSON.
Entrambe rappresentano il carattere <. &lt; è un’entità nominata (lt = less‑than), &#60;/&#x3C; sono entità numeriche/esa. In HTML moderno l’effetto è lo stesso: per leggibilità si preferisce &lt;, per scenari che richiedono codifiche generiche o cross‑linguaggio si usano &#60;/&#x3C;. È importante mantenere il punto e virgola finale (es. &lt;); se manca, il parser potrebbe combinare l’entità con i caratteri successivi (ad esempio “&notin” può essere interpretato come “&not;” + “in”, risultando in “¬in”).
No. L'escape di HTML funziona solo per i contesti di entità HTML. Le stringhe JavaScript, CSS, gli URL, JSON e HTML richiedono tutti una gestione diversa.
Perché il contenuto è stato escapato due volte. La prima volta < diventa &lt;, la seconda & viene ulteriormente escapata in &amp;, producendo &amp;lt;. È importante evitare di applicare l’escape a dati già escapati.
Usa la sanificazione, non questo strumento di fuga. Un disinfettante può consentire l'elenco di tag e attributi sicuri, filtrare protocolli e rimuovere eventi o stili. Utilizza librerie come DOM Purify o sanitize-html, disinfetta il server quando possibile e utilizza textContent per testo semplice.