GUIDE PRATICHE · Web e codici
Caratteri speciali HTML: quando usare le entità
Distingui testo e markup, evita la doppia codifica e capisci perché le entità HTML non sostituiscono la sanitizzazione.
A cura di Puffinmint · Aggiornata il
Distingui testo e delimitatori HTML
In HTML il testo e i delimitatori dei tag hanno ruoli diversi. Se vuoi mostrare letteralmente un segno minore di o una e commerciale dentro un testo, usa riferimenti di carattere appropriati. Il contesto di destinazione decide quale protezione serve.
Codifica una volta nel contesto corretto
Codifica il contenuto testuale una volta al punto di inserimento. Per visualizzare una stringa con i tag, codifica anche i delimitatori. Se un sistema di template applica già l’escaping, aggiungere una seconda codifica può mostrare i nomi delle entità all’utente.
-
Dati inseriti
A & B -
Passaggi del calcolo
Scegli e applica il metodo
-
Risultato
A & B
PROVA IL PASSAGGIO
Entità HTML: codifica e decodifica
Lavora direttamente in questa guida: carica un esempio, avvia lo strumento e cambia i dati per confrontare il risultato. Il secondo esperimento mette alla prova un caso diverso.
Un esempio riproducibile
La stringa A & B contiene una e commerciale. Codificata diventa A & B. La sequenza &lt; richiede due decodifiche per arrivare al segno minore di: questo tool ne applica una e restituisce <.
Decodifica un solo livello
Il secondo esempio parte da &lt;. Una decodifica deve restituire <, non il carattere minore di. Decodifica di nuovo quel risultato per vedere la differenza tra uno e due passaggi.
Risultato
Inserisci i dati per vedere il risultato.
La e commerciale e i livelli di codifica
La stringa A & B contiene una e commerciale. Codificata diventa A & B. La sequenza &lt; richiede due decodifiche per arrivare al segno minore di: questo tool ne applica una e restituisce <.
Scenario di utilizzo
- Dati inseriti
A & B- Risultato
A & B
Escaping, sanitizzazione e contenuti non affidabili
Decodificare non rende affidabile un contenuto. Il risultato va tenuto come testo se non deve diventare markup. Le entità HTML non sostituiscono la sanitizzazione e non sono una difesa generale per stringhe JavaScript, CSS o URL: serve una gestione specifica del contesto.
Questi sono dati di esempio, non misure di un caso reale. Il risultato usa lo stesso motore dello strumento completo. Confrontalo con i passaggi spiegati nella guida e spunta le verifiche dopo il controllo.
| Parametro | Valore |
|---|---|
| Quali sono i limiti dello strumento? | Massimo 100.000 caratteri. Decodifica un solo livello e restituisce testo: non sanitizza HTML. |
| Elaborazione e privacy | I dati inseriti e i risultati vengono elaborati nel browser e non sono inviati al server. Le statistiche aggregate, se attive, registrano solo lo strumento e l’esito, senza contenuti. |