data_object Codificador / Decodificador de Entidades HTML star

Cómo Funciona

HTML reserva un puñado de caracteres para su propia sintaxis: < y > marcan las etiquetas, y & inicia una referencia de entidad. Si esos caracteres aparecen literalmente dentro de contenido que se inserta en una página — un comentario, un nombre de usuario, una búsqueda que se muestra de vuelta — el navegador intenta interpretarlos como marcado en lugar de mostrarlos como texto. La codificación los convierte en su forma de entidad (<, >, &) para que se muestren como los caracteres literales en lugar de ser interpretados. La decodificación hace lo inverso, convirtiendo entidades como & o ’ de vuelta en los caracteres reales que representan.

Esto no es un detalle cosmético — es un control de seguridad. Si un cuadro de comentarios toma la entrada del usuario y la inserta en el HTML de la página sin codificarla primero, un visitante puede escribir <script>...</script> y hacer que ese script se ejecute realmente en el navegador de cualquier otro visitante: este tipo de vulnerabilidad se llama Cross-Site Scripting (XSS), y codificar la salida no confiable antes de que toque el HTML es la defensa estándar contra ella. Por ejemplo, codificar el texto 5 < 10 & 10 > 5 produce 5 < 10 & 10 > 5, que se muestra correctamente y no puede confundirse con marcado.

Lo Que Deberías Saber

• Las entidades con nombre y las numéricas representan el mismo carácter de forma distinta. ' (con nombre) y ' (numérica) significan ambas una comilla simple, pero las entidades con nombre dependen de que el analizador reconozca ese nombre específico — las entidades numéricas (decimales o hexadecimales &#x) son universalmente compatibles y más seguras para salidas generadas por máquina.
• La codificación no es la única defensa. Protege el contenido de texto; los atributos, las URL y los contextos de JavaScript en línea necesitan sus propias reglas de escape, ya que un valor dentro de href="javascript:..." o dentro de un bloque <script> se analiza bajo reglas distintas a las del texto normal del cuerpo.
• La conversión es local. Esta herramienta usa el propio analizador DOM de tu navegador — no se sube ni se registra nada.
• No todos los lenguajes de plantillas del lado del servidor escapan automáticamente por defecto. Algunos (como una salida de PHP antigua o la concatenación cruda de cadenas) requieren que llames explícitamente a una función de escape — olvidarlo es una de las fuentes más comunes de errores XSS en el mundo real.
• Algunas entidades se ven casi idénticas visualmente. Un apóstrofo recto (') y una comilla simple tipográfica de cierre (’) se muestran casi igual en pantalla pero son secuencias de bytes distintas — una distinción que importa en muestras de código o en URL.

Un ejemplo concreto de antes/después: un campo de comentario que contiene ¡Buen post! 5 < 10, ¿verdad? no necesita ningún tratamiento especial como texto plano, pero en el momento en que se inserta sin escapar en una plantilla HTML, un visitante malicioso podría en cambio enviar <img src=x onerror=alert(1)> — la codificación convierte eso en texto inerte y visible en lugar de un manejador de error de imagen que se ejecuta.