data_object Codificatore / Decodificatore di Entità HTML star

Come Funziona

HTML riserva alcuni caratteri per la propria sintassi: < e > delimitano i tag, e & avvia un riferimento a un'entità. Se questi caratteri compaiono letteralmente all'interno di un contenuto che viene inserito in una pagina — un commento, un nome utente, una query di ricerca rimandata a video — il browser cerca di interpretarli come markup invece di mostrarli come testo. La codifica li converte nella loro forma di entità (<, >, &) in modo che vengano visualizzati come i caratteri letterali invece di essere interpretati. La decodifica inverte questo processo, trasformando entità come & o ’ nei caratteri reali che rappresentano.

Non si tratta di un dettaglio estetico — è un controllo di sicurezza. Se un campo commenti prende l'input dell'utente e lo inserisce nell'HTML della pagina senza prima codificarlo, un visitatore può digitare <script>...</script> e far sì che quello script venga effettivamente eseguito nel browser di ogni altro visitatore: questa classe di vulnerabilità si chiama Cross-Site Scripting (XSS), e codificare l'output non attendibile prima che tocchi l'HTML è la difesa standard contro di essa. Ad esempio, codificare il testo 5 < 10 & 10 > 5 produce 5 < 10 & 10 > 5, che viene visualizzato correttamente e non può essere scambiato per markup.

Cosa Dovresti Sapere

• Le entità con nome e quelle numeriche rappresentano lo stesso carattere in modo diverso. ' (con nome) e ' (numerica) significano entrambe una virgoletta singola, ma le entità con nome dipendono dal fatto che il parser riconosca quello specifico nome — le entità numeriche (decimali o esadecimali &#x) sono universalmente supportate e più sicure per l'output generato da macchine.
• La codifica non è l'unica difesa. Protegge il contenuto testuale; attributi, URL e contesti JavaScript inline richiedono le proprie regole di escape, poiché un valore all'interno di href="javascript:..." o all'interno di un blocco <script> viene analizzato secondo regole diverse rispetto al normale testo del corpo.
• La conversione è locale. Questo strumento usa il parser DOM nativo del tuo browser — nulla viene caricato o registrato.
• Non tutti i linguaggi di templating lato server fanno l'auto-escape per impostazione predefinita. Alcuni (come il vecchio output PHP o la concatenazione di stringhe grezze) richiedono di chiamare esplicitamente una funzione di escape — dimenticarlo è una delle fonti più comuni di bug XSS nel mondo reale.
• Alcune entità sembrano visivamente quasi identiche. Un apostrofo diritto (') e una virgoletta singola tipografica destra (’) vengono rese quasi allo stesso modo sullo schermo ma sono sequenze di byte diverse — una distinzione che conta negli esempi di codice o negli URL.

Un esempio concreto di prima/dopo: un campo commenti contenente Bel post! 5 < 10, vero? non richiede alcuna gestione speciale come testo semplice, ma nel momento in cui viene inserito in un template HTML senza escape, un visitatore malintenzionato potrebbe invece inviare <img src=x onerror=alert(1)> — la codifica trasforma tutto ciò in testo inerte e visibile invece di un gestore di errore immagine funzionante.