jsonecho

Échappement HTML

Collez votre texte et obtenez-le échappé pour HTML, prêt à coller dans du code ou des données.

Chargement de l'outil...

Comment utiliser Échappement HTML

Collez ou tapez le texte que vous voulez échapper.
Ajustez les options si nécessaire.
Copiez le résultat échappé.

À propos de Échappement HTML

HTML donne un sens spécial à cinq caractères : l'esperluette, les deux chevrons et les deux types de guillemets. Si l'un d'eux apparaît dans du texte que vous voulez afficher sur une page, le navigateur le lit comme du balisage. Un signe « inférieur à » dans une phrase peut avaler le reste de la ligne, et un guillemet égaré peut terminer un attribut trop tôt. L'échappement remplace chacun d'eux par une entité, comme < pour le chevron ouvrant.

C'est aussi votre première ligne de défense contre le cross-site scripting. Tout texte venant d'un utilisateur et finissant dans une page doit être échappé pour HTML, soit par votre moteur de template, soit à la main.

Ce qui est échappé

& devient &, < devient <, > devient >, un guillemet double devient " et une apostrophe devient '.

Questions fréquentes

Quels caractères couvre l'échappement HTML ?

L'esperluette, le inférieur à, le supérieur à, le guillemet double et l'apostrophe. Ces cinq suffisent à rendre le texte sûr dans le contenu d'un élément et dans les valeurs d'attribut entre guillemets.

L'échappement suffit-il à prévenir le XSS ?

C'est la bonne solution pour du texte placé dans le contenu d'un élément ou dans un attribut entre guillemets. Cela ne couvre pas tous les contextes. Le texte placé dans un bloc script, une URL ou un style nécessite un traitement différent.

Pourquoi l'apostrophe est-elle écrite ' et non ' ?

' n'est pas défini en HTML 4 et certains anciens navigateurs l'ignorent. La forme numérique fonctionne partout.

Que fait « Encoder le non-ASCII » ?

Il écrit chaque caractère hors ASCII simple comme une entité numérique, par exemple é devient é. Utilisez-le quand la page ou le canal ne peut pas être fiable pour transporter de l'UTF-8.

Plus dans Échappement et texte

Tous les outils →

Déséchappement XMLDéséchappez du texte XML en caractères simples.Déséchapper Déséchappement JavaScriptDéséchappez du texte JavaScript en caractères simples.Déséchapper Déséchappement JavaDéséchappez du texte Java en caractères simples.Déséchapper Échappement .NET (C#)Échappez les caractères spéciaux pour .NET (C#).Échapper Déséchappement .NET (C#)Déséchappez du texte .NET (C#) en caractères simples.Déséchapper Échappement JSONÉchappez les caractères spéciaux pour JSON.Échapper Déséchappement JSONDéséchappez du texte JSON en caractères simples.Déséchapper Échappement CSVÉchappez les caractères spéciaux pour CSV.Échapper