Mã hóa HTML

HTML Escape là gì?

HTML escaping chuyển đổi các ký tự đặc biệt như <, >, & thành thực thể HTML (<, >, &). Điều này ngăn chặn các cuộc tấn công XSS và đảm bảo văn bản được hiển thị chính xác trong HTML mà không bị diễn giải thành mã.

Cách sử dụng công cụ HTML Escape

Nhập văn bản bạn muốn escape.
Nhấp vào nút "Escape".
Sao chép HTML đã được escape.
Sử dụng an toàn trong tài liệu HTML của bạn.

Công cụ HTML escape miễn phí này chuyển đổi ký tự đặc biệt thành thực thể HTML. Hoàn hảo cho các nhà phát triển cần hiển thị mã HTML an toàn trên trang web.

Cần unescape HTML? Hãy thử Công cụ HTML Unescape của chúng tôi →

Câu hỏi thường gặp

Tại sao tôi cần phải thoát HTML? Nếu bạn chèn nội dung không tin cậy trực tiếp vào HTML mà không thoát, người dùng có thể tiêm các thẻ như <script> hoặc trình xử lý sự kiện như onclick= vào trang của bạn. Điều này được gọi là XSS (Cross-Site Scripting) và là một trong những lỗ hổng bảo mật web phổ biến nhất. Thoát sẽ làm cho bất kỳ ký tự nào có thể được diễn giải như HTML trở nên vô hại.

Sự khác biệt giữa thoát HTML và mã hóa URL là gì? Thoát HTML thay thế các ký tự bằng các thực thể HTML để bao gồm an toàn trong đánh dấu HTML. Mã hóa URL (mã hóa phần trăm) thay thế các ký tự bằng các chuỗi %XX để bao gồm an toàn trong URL. Sử dụng thoát HTML cho nội dung HTML và mã hóa URL cho các tham số truy vấn URL — chúng phục vụ các bối cảnh khác nhau.

Tôi có nên thoát tất cả dữ liệu nhập của người dùng không? Có — khi dữ liệu nhập đó sẽ được hiển thị dưới dạng HTML. Theo quy tắc chung: thoát ở đầu ra, không phải ở đầu vào. Lưu trữ dữ liệu nhập của người dùng thô và thoát nó bất cứ khi nào bạn hiển thị nó trong bối cảnh HTML. Thoát ở đầu vào có thể làm hỏng dữ liệu được sử dụng sau này trong bối cảnh không phải HTML.

Thoát HTML có bảo vệ chống lại SQL injection không? Không. Thoát HTML chỉ bảo vệ chống lại XSS trong bối cảnh HTML. Để ngăn chặn SQL injection, hãy sử dụng các truy vấn được tham số hóa hoặc các câu lệnh được chuẩn bị trong lớp cơ sở dữ liệu của bạn. Các bối cảnh khác nhau yêu cầu các chiến lược thoát khác nhau.

Keywords: HTML escape, thực thể HTML, bảo vệ XSS, escape ký tự HTML