ตัวแปลง HTML (เข้ารหัส/ถอดรหัส)
แปลงอักขระพิเศษของ HTML เป็นเอนทิตี หรือถอดเอนทิตีแบบชื่อ เลขฐานสิบ และเลขฐานสิบหกในเครื่อง เพื่อแสดงแท็กและตัวอย่างโค้ด
ข้อความนำเข้า
อักขระ
0 / 50,000
เริ่มต้นอย่างรวดเร็ว
สถานการณ์การใช้งานทั่วไป
ความคิดเห็นของผู้ใช้
หลีกเลี่ยงข้อความเมื่อคุณต้องการแสดงความคิดเห็นเพื่อแสดงเป็นข้อความธรรมดาภายในบริบทเนื้อหา HTML
บทความบล็อก
แสดงตัวอย่างโค้ด HTML ในเนื้อหา
โพสต์ในฟอรัม
แสดงข้อความที่ผู้ใช้สร้างขึ้นโดยไม่ให้แท็กแสดงผลเป็นมาร์กอัป
ข้อความแชท
แสดงมาร์กอัปที่วางเป็นข้อความก่อนที่จะถึงพื้นที่เนื้อหา HTML
ข้อมูลแบบฟอร์ม
ตรวจสอบและคัดลอกค่าที่ใช้ Escape ก่อนแสดงข้อความที่ส่ง
หน้าแสดงโค้ด
แสดงโค้ด HTML/JavaScript บนหน้าเว็บ
กฎและรูปแบบการ Escape HTML
การหลบหนีและขอบเขตการฆ่าเชื้อ
คำแนะนำการใช้งาน
ข้อจำกัดและความเข้ากันได้
ความเป็นส่วนตัวและความปลอดภัย
คำถามที่พบบ่อย
XSS (Cross-Site Scripting) เกิดขึ้นเมื่อเนื้อหาที่ไม่น่าเชื่อถือถูกตีความว่าเป็นสคริปต์หรือมาร์กอัปในหน้าเว็บ การ Escape HTML ช่วยในการบริบทเนื้อหา HTML แต่เป็นเพียงส่วนหนึ่งของการป้องกัน XSS
ใช้การหลบหนี HTML เมื่อแทรกข้อความที่ไม่น่าเชื่อถือลงในเนื้อหา HTML หรือบริบทของแอตทริบิวต์ ต้องการเนื้อหาข้อความหรือการ Escape เริ่มต้นของเฟรมเวิร์กของคุณสำหรับข้อความธรรมดา และใช้การ Escape ที่แตกต่างกันสำหรับบริบท JavaScript, CSS, URL หรือ JSON
ทั้งสองแสดงถึง < (น้อยกว่า) เหมือนกัน < เป็น named entity; ส่วน </< เป็น numeric/hex entity ใน HTML สมัยใหม่ทั้งสองทำงานเหมือนกัน ใช้ < เพื่อให้อ่านง่าย และใช้ </< เมื่อไม่รองรับ named entity หรือเมื่อแปลงตัวอักษรตามรหัสอย่างเคร่งครัด ควรใส่เซมิคอลอนท้ายเสมอ มิฉะนั้น parser อาจต่อกับตัวอักษรถัดไป
ไม่ การ Escape HTML ใช้ได้กับบริบทเอนทิตี HTML เท่านั้น สตริง JavaScript, CSS, URL, JSON และ HTML ที่สมบูรณ์ล้วนต้องการการจัดการที่แตกต่างกัน
มักเกิดจากการ Escape ซ้ำหลายครั้ง เช่น รอบแรก < ถูกแปลงเป็น &lt; แล้วรอบต่อมา & ถูก Escape เป็น &amp; ทำให้ได้ &amp;lt; ควรหลีกเลี่ยงการ Escape ซ้ำโดยไม่จำเป็น
ใช้การฆ่าเชื้อ ไม่ใช่เครื่องมือหลบหนีนี้ เครื่องฆ่าเชื้อสามารถอนุญาตรายการแท็กและคุณลักษณะที่ปลอดภัย กรองโปรโตคอล และลบเหตุการณ์หรือสไตล์ได้ ใช้ไลบรารี เช่น DOM Purify หรือ sanitize-html ฆ่าเชื้อบนเซิร์ฟเวอร์เมื่อเป็นไปได้ และใช้ textContent สำหรับข้อความธรรมดา