HTML एंटिटी एनकोडर और डिकोडर

HTML escape क्यों करें?

HTML में पाँच अक्षरों का विशेष अर्थ है: & एंटिटी शुरू करता है, < और > टैग की सीमा तय करते हैं, और " व ' एट्रिब्यूट वैल्यू बंद करते हैं। अगर इन्हें रखने वाला यूज़र का टेक्स्ट बिना escape किए पेज में डाला जाए, तो यह लेआउट तोड़ सकता है या उससे भी बुरा, स्क्रिप्ट इंजेक्ट कर सकता है (cross-site scripting, XSS)। escape करने से ये &, <, >, " और ' बन जाते हैं, जिन्हें ब्राउज़र टेक्स्ट के रूप में दिखाता है।

नामित, दशमलव और hex एंटिटी

हर Unicode अक्षर को संख्यात्मक रेफ़रेंस के रूप में लिखा जा सकता है: € के लिए दशमलव € या hex €। कई आम अक्षरों का पढ़ने लायक नाम भी होता है, जैसे €, © या  । संख्यात्मक रेफ़रेंस हर जगह काम करते हैं, XML में भी, जो सिर्फ़ पाँच नामित एंटिटी परिभाषित करता है। नामित एंटिटी सोर्स कोड में पढ़ने में आसान होती हैं।

क्या non-ASCII अक्षरों को एनकोड करना ज़रूरी है?

नहीं, अगर आपका पेज UTF-8 के रूप में सर्व होता है, जैसा लगभग हर आधुनिक साइट करती है (<meta charset="utf-8">)। é, ü या 日本 जैसे अक्षर सीधे लिखे जा सकते हैं। इन्हें एनकोड करना पुराने सिस्टम, ईमेल टेम्पलेट, या तब उपयोगी है जब कोई पाइपलाइन non-ASCII टेक्स्ट बिगाड़ देती है।

Escaping संदर्भ पर निर्भर है

HTML एंटिटी escaping एलिमेंट की सामग्री और कोट किए गए एट्रिब्यूट में रखे टेक्स्ट को सुरक्षित करती है। यह <script> ब्लॉक, इनलाइन इवेंट हैंडलर, CSS या URL के अंदर की वैल्यू के लिए काफ़ी नहीं है, जिनमें से हर एक को अपनी एनकोडिंग चाहिए। हाथ से स्ट्रिंग बनाने के बजाय अपने फ़्रेमवर्क (React, Vue, Jinja, Blade) की auto-escaping को प्राथमिकता दें।