Ga naar inhoud
CrateX.app-logo

CrateX.app

HTML escapen/unescapen

Escape speciale HTML-tekens naar entiteiten of unescape benoemde, decimale en hexadecimale tekenreferenties lokaal voor tagweergave en codevoorbeelden.

Invoertekst

Syntaxisaccentuering: Automatisch
HTML escapen/unescapen

Snelstart

1
Voer HTML of geëscapete entiteitstekst in.
2
Kies Coderen of Decoderen.
3
Converteer in dezelfde editor.
4
Kopieer het huidige resultaat.

Veelvoorkomende scenario's

Gebruikersopmerkingen

ontsnap aan tekst wanneer u opmerkingen wilt weergeven als platte tekst binnen een HTML-inhoudscontext

Blogartikelen

HTML-codevoorbeelden veilig tonen in content.

Forumberichten

toon door gebruikers gegenereerde tekst zonder dat tags als opmaak worden weergegeven

Chatberichten

geef geplakte markeringen weer als tekst voordat deze een HTML-inhoudsgebied bereiken

Formuliergegevens

inspecteer en kopieer ontsnapte waarden voordat de ingediende tekst wordt weergegeven

Codeweergave

HTML/JavaScript-snippets tonen op een pagina zonder uitvoer.

Escape-regels & entiteiten

Encode verwerkt deze zes tekens: & < > " ' /. Slash-escaping is opgenomen voor compatibiliteit, maar de meeste HTML tekst- en attribuutcontexten vereisen dit niet.
Vaste coderingskaart: & wordt &amp;, < wordt &lt;, > wordt &gt;, " wordt &quot;, ' wordt &#39; en / wordt &#x2F;.
Attribuuttekst: dubbele aanhalingstekens worden &quot; en enkele aanhalingstekens worden &#39;, maar attributen, gebeurtenissen en URL-protocollen hebben nog steeds contextspecifieke afhandeling nodig.
Geef scripttags weer als tekst: codeer <script> voordat u het in een HTML-inhoudscontext plaatst.
Tags escapen: schrijf <div> als &lt;div&gt; zodat de browser het niet als echte tag interpreteert.

Ontsnapping versus sanitatiegrenzen

Encode gebruikt een vaste kaart van zes tekens. Het verandert niet elk Unicode-teken in een benoemde, decimale of hexadecimale entiteit.
Decoderen gebruikt browser HTML-parseerregels voor tekenreferenties. Onbekende of onvolledige entiteiten kunnen ongewijzigd blijven in plaats van dat er een validatierapport wordt geproduceerd.
Bij het ontsnappen worden tags weergegeven als tekst. Opschoning filtert tags, attributen, gebeurtenissen en protocollen. Deze pagina voert alleen de eerste taak uit.
HTML-inhoud, attributen, JavaScript-tekenreeksen, CSS, URL's, JSON en Markdown hebben allemaal verschillende escape-regels nodig.
De pagina heeft geen HTML-preview, formatter, validator, DOM-tree, XSS-rapport of bestandsupload. Grote uitvoer kan een lokale .txt-download aanbieden.
Het coderen en decoderen van HTML-entiteiten gebeurt lokaal in uw browser. Brontekst kan als browserconcept bewaard blijven. Als een opgeslagen workspace of WebDAV-sync is ingeschakeld, kan die tekst ook via die synchronisatie worden opgeslagen. Kleine resultaten blijven in dezelfde editorinhoud; grote uitvoer kan lokaal als IndexedDB artifact worden opgeslagen zodat u die kunt kopiëren, als .txt-bestand downloaden of terug in de editor toepassen. Er wordt niets geüpload.

Gebruiksadvies

Contextbewuste escaping: kies de juiste escape-strategie afhankelijk van de context (HTML-body, attributen, JS, CSS).
Verwerking aan de serverzijde: beveiligingskritieke uitvoercodering en opschoning moeten worden afgedwongen in uw app, niet alleen in een browserhelper.
Dubbele controle: verifieer het ontsnapte resultaat in de doelcontext voordat u het in productie gebruikt.
Gebruik bibliotheken: productieomgevingen moeten vertrouwen op raamwerk-escaping en volwassen ontsmettingsmiddelen in plaats van handmatige kopieer-plakverwerking.
Previewcontrole: bevestig het resultaat op de bestemmingspagina of testomgeving, omdat elke uitvoercontext andere regels heeft.

Beperkingen & compatibiliteit

Geen ontsmettingsmiddel: deze tool verwijdert geen scripts, gebeurteniskenmerken, onveilige protocollen, stijlkenmerken of ongewenste tags.
Onvolledige bescherming: alleen ontsnappen kan niet alle XSS voorkomen. Maak waar nodig gebruik van framework-escape, opschoning, CSP en server-side validatie.
Contextafhankelijk: verschillende contexten (HTML, attributen, JS, CSS) vragen andere escape-regels.

Privacy & veiligheid

Het coderen en decoderen van HTML-entiteiten gebeurt lokaal in uw browser. Brontekst kan als browserconcept bewaard blijven. Als een opgeslagen workspace of WebDAV-sync is ingeschakeld, kan die tekst ook via die synchronisatie worden opgeslagen. Kleine resultaten blijven in dezelfde editorinhoud; grote uitvoer kan lokaal als IndexedDB artifact worden opgeslagen zodat u die kunt kopiëren, als .txt-bestand downloaden of terug in de editor toepassen. Er wordt niets geüpload.

Veelgestelde vragen

6

Ga verder met deze gerelateerde tools voor de volgende stap.

Over

Over ons
Prijzen

Juridisch

Servicevoorwaarden
Privacybeleid
Cookiebeleid

Voorkeuren

Cookies beheren

Alle verwerking van tools vindt lokaal plaats in je browser.