Mã hóa / Giải mã thực thể HTML
Escape văn bản để dùng an toàn trong HTML, chuyển ký tự đặc biệt thành thực thể số hoặc giải mã thực thể về văn bản thuần.
Các thực thể HTML thông dụng
| Ký tự | Thực thể | Dạng số | Mô tả |
|---|---|---|---|
| & | & | & | Dấu và (ampersand) |
| < | < | < | Dấu nhỏ hơn |
| > | > | > | Dấu lớn hơn |
| " | " | " | Dấu nháy kép |
| ' | ' | ' | Dấu nháy đơn (apostrophe) |
| ⍽ | |   | Khoảng trắng không ngắt dòng |
| © | © | © | Ký hiệu bản quyền |
| ® | ® | ® | Ký hiệu nhãn hiệu đã đăng ký |
| ™ | ™ | ™ | Ký hiệu nhãn hiệu |
| € | € | € | Ký hiệu Euro |
| £ | £ | £ | Ký hiệu Bảng Anh |
| ¥ | ¥ | ¥ | Ký hiệu Yên |
| ¢ | ¢ | ¢ | Ký hiệu Cent |
| § | § | § | Ký hiệu mục (section) |
| ° | ° | ° | Ký hiệu độ |
| ± | ± | ± | Dấu cộng trừ |
| × | × | × | Dấu nhân |
| ÷ | ÷ | ÷ | Dấu chia |
| … | … | … | Dấu ba chấm |
| – | – | – | Gạch ngang ngắn (en dash) |
| — | — | — | Gạch ngang dài (em dash) |
| « | « | « | Dấu ngoặc kép góc trái |
| » | » | » | Dấu ngoặc kép góc phải |
| · | · | · | Dấu chấm giữa |
Giới thiệu về Mã hóa / Giải mã thực thể HTML
HTML dùng một số ký tự cho cú pháp riêng, nên dấu &, dấu nhỏ hơn, lớn hơn và dấu nháy phải được viết dưới dạng thực thể như &, < và " khi xuất hiện như văn bản. Escape chúng cũng là lớp phòng thủ đầu tiên chống tấn công cross-site scripting (XSS) khi bạn hiển thị dữ liệu người dùng nhập trên trang. Chọn “ký tự đặc biệt” để chỉ escape năm ký tự đó, hoặc “mọi ký tự không phải ASCII” để chuyển cả chữ có dấu, ký hiệu và emoji thành thực thể số như é — hữu ích cho hệ thống cũ, mẫu e-mail và tệp có mã hóa không xác định. Chế độ giải mã làm điều ngược lại: chuyển các thực thể có tên, thập phân và thập lục phân trở lại ký tự dễ đọc, giống hệt cách trình duyệt làm. Bảng tham chiếu liệt kê các thực thể bạn cần dùng thường xuyên nhất. Mọi thứ chạy trong trình duyệt của bạn.
FAQ
' và ' khác nhau thế nào?
Cả hai đều là dấu nháy đơn. ' được định nghĩa trong HTML5 và XML nhưng không có trong HTML 4 cũ, nên dạng số ' là lựa chọn an toàn nhất và hoạt động ở mọi nơi.
Escape HTML có đủ để ngăn chặn XSS không?
Escape năm ký tự đặc biệt bảo vệ văn bản đặt giữa các thẻ và bên trong thuộc tính có dấu nháy. Ngữ cảnh URL, JavaScript và CSS cần cách mã hóa riêng, vì vậy hãy dùng thêm template engine escape mặc định và Content Security Policy.
Tôi nên dùng thực thể có tên hay thực thể số?
Thực thể số hoạt động với mọi ký tự Unicode và trong mọi trình phân tích. Thực thể có tên dễ đọc hơn nhưng chỉ có cho một số ký tự. Với trang UTF-8, bạn thường chỉ cần escape các ký tự đặc biệt.