ترميز وفك ترميز كيانات HTML

لماذا تهرّب HTML؟

لخمسة أحرف معنى خاص في HTML: & يبدأ كيانًا، و< و> يحدّان الوسوم، و" و' يُغلقان قيم السمات. إذا أُدرج نص يقدمه المستخدم يحتوي عليها في صفحة دون تهريب، فقد يكسر التخطيط، أو ما هو أسوأ، يحقن سكربتات (Cross-Site Scripting، XSS). يحوّلها التهريب إلى & و< و> و" و'، التي يعرضها المتصفح كنص.

الكيانات المسمّاة والعشرية والست عشرية

يمكن كتابة أي حرف Unicode كمرجع رقمي: عشري € أو ست عشري € للرمز €. وللعديد من الأحرف الشائعة أيضًا اسم مقروء، مثل € أو © أو  . تعمل المراجع الرقمية في كل مكان، بما في ذلك XML الذي لا يعرّف سوى خمسة كيانات مسمّاة. أما الكيانات المسمّاة فأسهل قراءةً في الكود المصدري.

هل أحتاج إلى ترميز الأحرف غير ASCII؟

لا، إذا كانت صفحتك تُقدَّم بترميز UTF-8، وهو حال كل المواقع الحديثة تقريبًا (<meta charset="utf-8">). يمكن كتابة أحرف مثل é أو ü أو 日本 مباشرة. ترميزها مفيد للأنظمة القديمة، أو قوالب البريد الإلكتروني، أو عندما يُفسد مسار معالجة ما النصوص غير ASCII.

التهريب يعتمد على السياق

يحمي تهريب كيانات HTML النص الموضوع في محتوى العناصر والسمات المقتبسة. لكنه لا يكفي للقيم داخل كتل <script>، أو معالجات الأحداث المضمّنة، أو CSS، أو عناوين URL، إذ يحتاج كل منها إلى ترميزه الخاص. فضّل التهريب التلقائي في إطار عملك (React وVue وJinja وBlade) على بناء السلاسل يدويًا.