HTML Entity Encoder & Decoder

What is this tool?

This HTML entity converter encodes reserved markup characters (&, <, >, ", ') into HTML-safe entity text, and decodes entity text back to readable characters. Use Named (&, <) or Numeric (&, <) when encoding; decode accepts both.

Entity rules differ by context: text nodes, attributes, JavaScript strings, CSS, SVG, and XML are not identical. This page helps inspect snippets, CMS copy, and feed fields. Production rendering should still rely on framework escaping and a trusted sanitizer for untrusted HTML.

Conversion updates live in your browser. Nothing is uploaded.

Common use cases

• Show literal markup in docs or blog posts without the browser treating it as tags
• Fix or inspect double-encoded CMS / WYSIWYG content (& loops)
• Prepare titles or descriptions for RSS/Atom and other XML-ish feeds where & must be escaped

How to use

1. Choose Encode or Decode. Results update as you type.
2. On Encode, leave Numeric off for named entities (<div>), or turn it on for decimal references (<div>).
3. Paste text or entity-encoded text. Use Sample for <div> ↔ <div>.
4. Copy the output. For untrusted HTML, still sanitize—entity escape alone is not XSS defense.

Named vs numeric

Decode of either column returns the original input. Prefer named for readable source; prefer numeric when a consumer is picky about named references.

Examples

Practical pitfalls

• Escaping text is not the same as sanitizing HTML. Attribute injection, javascript: URLs, and SVG/script contexts need different defenses.
• Double encoding (<) is common after CMS round-trips; decode once and check whether another pass is still needed.
• This tool escapes the five reserved characters only. It does not turn every Unicode character into a numeric entity (use Unicode encode/decode for &#x…; code-point forms).

References

• WHATWG named character references
• OWASP XSS prevention

이 도구는 무엇인가요?

예약 문자(&, <, >, ", ')를 HTML 엔티티로 인코딩하거나, 엔티티를 읽기 쉬운 텍스트로 디코딩합니다. 인코딩 시 이름(&, <) 또는 숫자(&, <)를 고를 수 있고, 디코드는 둘 다 받습니다.

텍스트 노드·속성·스크립트·CSS·XML 규칙은 서로 다릅니다. 스니펫·CMS·피드 점검용이며, 신뢰할 수 없는 HTML에는 프레임워크 이스케이프와 sanitizer가 필요합니다. 변환은 브라우저에서만 실행됩니다.

자주 쓰는 경우

• 문서·블로그에서 마크업을 태그로 해석되지 않게 그대로 보여 주기
• CMS/WYSIWYG의 이중 인코딩(&) 확인·수정
• RSS/Atom 등 피드 제목·설명에서 & 이스케이프 준비

사용 방법

1. Encode 또는 Decode를 선택합니다. 입력하면 결과가 바로 갱신됩니다.
2. Encode에서 Numeric을 끄면 이름 엔티티(<div>), 켜면 십진 참조(<div>)입니다.
3. 텍스트 또는 엔티티를 붙여넣고 Sample로 <div> 왕복을 확인합니다.
4. 결과를 복사합니다. 신뢰할 수 없는 HTML은 별도 살균이 필요합니다.

Named vs numeric

예시

실무에서 흔한 실수

• 텍스트 이스케이프 ≠ HTML 살균. 속성·javascript: URL·SVG/스크립트는 별도 방어가 필요합니다.
• CMS 왕복 후 <처럼 이중 인코딩이 흔합니다. 한 번 디코드한 뒤 추가 패스가 필요한지 확인하세요.
• 이 도구는 예약 문자 다섯 개만 이스케이프합니다. 모든 유니코드를 &#x…;로 바꾸는 용도가 아닙니다(그건 Unicode 도구).

참고자료

• WHATWG named character references
• OWASP XSS prevention

このツールについて

予約文字（& < > " '）を HTML エンティティへエンコードし、エンティティを読みやすいテキストへデコードします。エンコード時は 名前（& <）または 数値（& <）を選べ、デコードは両方受け付けます。

テキスト・属性・スクリプト・CSS・XML の規則は同一ではありません。スニペットや CMS、フィード確認向けで、信頼できない HTML にはフレームワークのエスケープとサニタイザが必要です。変換はブラウザ内だけです。

よくある用途

• ドキュメントやブログでマークアップをタグとして解釈させずに見せる
• CMS / WYSIWYG の二重エンコード（&）の確認・修正
• RSS/Atom などのフィード用タイトル・説明で & をエスケープ

使い方

1. Encode または Decode を選びます。入力に応じて結果が更新されます。
2. Encode で Numeric をオフにすると名前実体、オンにすると十進参照になります。
3. テキストまたはエンティティを貼り、Sample で <div> の往復を確認します。
4. 結果をコピーします。信頼できない HTML は別途サニタイズしてください。

Named vs numeric

例

実務での落とし穴

• テキストのエスケープは HTML サニタイズではありません。属性や javascript: URL、SVG/スクリプトは別対策が必要です。
• CMS 往復後の < のような二重エンコードはよくあります。一度デコードして追加パスが要るか確認してください。
• 予約文字 5 種のみです。すべての Unicode を &#x…; にする用途ではありません（Unicode ツールを使ってください）。

参考資料

• WHATWG named character references
• OWASP XSS prevention

¿Qué es esta herramienta?

Codifica caracteres reservados (&, <, >, ", ') como entidades HTML y decodifica entidades a texto legible. En encode elige con nombre (&, <) o numérico (&, <); decode acepta ambos.

Las reglas cambian según el contexto (texto, atributos, JS, CSS, XML). Sirve para snippets, CMS y feeds; el HTML no confiable sigue necesitando el escape del framework y un sanitizador. Todo corre en el navegador.

Casos de uso comunes

• Mostrar marcado literal en documentación o blogs sin que el navegador lo trate como etiquetas
• Revisar o corregir doble codificación de CMS/WYSIWYG (&)
• Preparar títulos o descripciones para RSS/Atom donde & debe escaparse

Cómo usar

1. Elige Encode o Decode. El resultado se actualiza al escribir.
2. En Encode, Numeric off = entidades con nombre; on = referencias decimales.
3. Pega texto o entidades. Usa Sample para <div> ↔ <div>.
4. Copia la salida. El escape solo no basta contra XSS.

Named vs numeric

Ejemplos

Errores prácticos

• Escapar texto ≠ sanitizar HTML. Atributos, URLs javascript: y SVG/script necesitan otras defensas.
• La doble codificación (<) es frecuente tras CMS; decodifica una vez y comprueba si hace falta otra pasada.
• Solo escapa cinco caracteres reservados; no convierte todo Unicode a entidades (usa la herramienta Unicode).

Referencias

• WHATWG named character references
• OWASP XSS prevention

Qu'est-ce que cet outil ?

Encode les caractères réservés (&, <, >, ", ') en entités HTML et décode les entités en texte lisible. En encode, choisissez nommées (&, <) ou numériques (&, <) ; le décodage accepte les deux.

Les règles dépendent du contexte (texte, attributs, JS, CSS, XML). Utile pour snippets, CMS et flux ; le HTML non fiable exige toujours l’échappement du framework et un sanitizer. Tout s’exécute dans le navigateur.

Cas d'usage courants

• Afficher du balisage littéral dans docs ou blogs sans l’interpréter comme des balises
• Inspecter ou corriger le double encodage CMS/WYSIWYG (&)
• Préparer titres ou descriptions RSS/Atom où & doit être échappé

Comment utiliser

1. Choisissez Encode ou Decode. Le résultat se met à jour en tapant.
2. En Encode, Numeric off = entités nommées ; on = références décimales.
3. Collez le texte ou les entités. Sample montre <div> ↔ <div>.
4. Copiez la sortie. L’échappement seul ne remplace pas un sanitizer XSS.

Named vs numeric

Exemples

Pièges courants

• Échapper du texte ≠ sanitizer HTML. Attributs, URLs javascript: et SVG/script demandent d’autres défenses.
• Le double encodage (<) est fréquent après un CMS ; décodez une fois puis vérifiez s’il faut une autre passe.
• N’échappe que cinq caractères réservés ; ne convertit pas tout Unicode en entités (outil Unicode).

Références

• WHATWG named character references
• OWASP XSS prevention

这个工具是什么？

将保留字符（&、<、>、"、'）编码为 HTML 实体，或将实体解码为可读文本。编码时可选择 命名（&、<）或 数字（&、<）；解码两者都接受。

文本、属性、脚本、CSS、XML 规则并不相同。适合检查片段、CMS 与订阅源；不可信 HTML 仍需框架转义与可信 sanitizer。转换仅在浏览器中运行。

常见用途

• 在文档或博客中按字面显示标记，避免被当成标签解析
• 检查或修复 CMS/WYSIWYG 的双重编码（&）
• 为 RSS/Atom 等订阅源准备需转义 & 的标题或描述

如何使用

1. 选择 Encode 或 Decode。输入时结果即时更新。
2. Encode 时关闭 Numeric 使用命名实体，开启则使用十进制引用。
3. 粘贴文本或实体。用 Sample 查看 <div> ↔ <div>。
4. 复制输出。仅靠实体转义不能当作完整 XSS 防护。

Named vs numeric

示例

实践中的常见误区

• 转义文本 ≠ 清理 HTML。属性、javascript: URL、SVG/脚本需要其他防护。
• CMS 往返后常见双重编码（<）；先解码一次再判断是否还需一轮。
• 只转义五个保留字符，不会把所有 Unicode 变成实体（请用 Unicode 工具）。

参考资料

• WHATWG named character references
• OWASP XSS prevention

這個工具是什麼？

將保留字元（&、<、>、"、'）編碼為 HTML 實體，或將實體解碼為可讀文字。編碼時可選擇 命名（&、<）或 數字（&、<）；解碼兩者都接受。

文字、屬性、腳本、CSS、XML 規則並不相同。適合檢查片段、CMS 與訂閱源；不可信 HTML 仍需框架跳脫與可信 sanitizer。轉換僅在瀏覽器中執行。

常見用途

• 在文件或部落格中依字面顯示標記，避免被當成標籤解析
• 檢查或修復 CMS/WYSIWYG 的雙重編碼（&）
• 為 RSS/Atom 等訂閱源準備需跳脫 & 的標題或描述

如何使用

1. 選擇 Encode 或 Decode。輸入時結果即時更新。
2. Encode 時關閉 Numeric 使用命名實體，開啟則使用十進位引用。
3. 貼上文字或實體。用 Sample 查看 <div> ↔ <div>。
4. 複製輸出。僅靠實體跳脫不能當作完整 XSS 防護。

Named vs numeric

範例

實務上常見陷阱

• 跳脫文字 ≠ 清理 HTML。屬性、javascript: URL、SVG/腳本需要其他防護。
• CMS 往返後常見雙重編碼（<）；先解碼一次再判斷是否還需一輪。
• 只跳脫五個保留字元，不會把所有 Unicode 變成實體（請用 Unicode 工具）。

參考資料

• WHATWG named character references
• OWASP XSS prevention