HTML Escape

Ano ang HTML escaping?

Ang HTML escaping ay nagko-convert ng mga espesyal na HTML characters sa entities, upang ipakita bilang plain text nang hindi ito niinterpret bilang HTML.

Paano Gamitin

I-paste ang text sa input field
Ang mga espesyal na character ay awtomatikong mae-escape
Kopyahin ang naka-escape na HTML

Libreng tool para i-escape ang HTML characters.

Kailangan bang i-unescape ang HTML? Subukan ang aming HTML Unescape Tool →

Mga Madalas na Itinanong na Tanong

Bakit kailangan ko ng mag-escape ng HTML? Kung direktang isasama mo ang hindi pinagkakatiwalaan na nilalaman sa HTML nang walang pag-escape, maaaring mag-inject ang isang gumagamit ng mga tag tulad ng <script> o mga event handler tulad ng onclick= sa iyong pahina. Ito ay tinatawag na XSS (Cross-Site Scripting) at isa ito sa pinaka-karaniwang web security vulnerabilities. Ang pag-escape ay neutralize ang anumang mga character na maaaring i-interpret bilang HTML.

Ano ang pagkakaiba sa pagitan ng HTML escaping at URL encoding? Ang HTML escaping ay nagpapalit ng mga character gamit ang HTML entities para sa ligtas na pagsasama sa HTML markup. Ang URL encoding (percent-encoding) ay nagpapalit ng mga character gamit ang %XX sequences para sa ligtas na pagsasama sa URLs. Gumamit ng HTML escaping para sa HTML content at URL encoding para sa URL query parameters — nagsisilbi sila sa iba't ibang konteksto.

Dapat ko bang i-escape ang lahat ng user input? Oo — kapag ang input na ito ay ire-render bilang HTML. Bilang isang rule of thumb: mag-escape sa output, hindi sa input. Iimbak ang raw user input, at i-escape ito kahit kailan mo ito ipakita sa HTML context. Ang pag-escape sa input ay maaaring makasama sa data na ginagamit sa ibang konteksto na hindi HTML.

Nagpoprotekta ba ang HTML escaping laban sa SQL injection? Hindi. Ang HTML escaping ay nagpoprotekta lamang laban sa XSS sa HTML contexts. Upang maiwasan ang SQL injection, gumamit ng parameterized queries o prepared statements sa iyong database layer. Ang iba't ibang konteksto ay nangangailangan ng iba't ibang escaping strategies.

Keywords: html escape, html entity, html encode