data_object HTML Entity Kodlayıcı / Çözücü star

Nasıl Çalışır

HTML, kendi söz dizimi için birkaç karakteri ayırmıştır: < ve > etiketleri işaretler, & bir varlık (entity) referansını başlatır. Bu karakterler sayfaya eklenen içerik içinde — bir yorum, kullanıcı adı, ekrana geri yansıtılan bir arama sorgusu — harfi harfine geçerse, tarayıcı onları metin olarak göstermek yerine işaretleme olarak ayrıştırmaya çalışır. Kodlama, bu karakterleri varlık biçimine (<, >, &) çevirerek yorumlanmak yerine olduğu gibi görünmesini sağlar. Çözme ise tersini yapar; & veya ’ gibi varlıkları temsil ettikleri gerçek karaktere döndürür.

Bu kozmetik bir detay değil, bir güvenlik kontrolüdür. Bir yorum kutusu kullanıcı girdisini önce kodlamadan sayfa HTML'ine eklerse, bir ziyaretçi <script>...</script> yazıp o kodun sayfayı gören her ziyaretçinin tarayıcısında gerçekten çalışmasını sağlayabilir — bu açık türüne XSS (Cross-Site Scripting) denir; güvenilmeyen çıktıyı HTML'e dokunmadan önce kodlamak bunun standart savunmasıdır. Örneğin 5 < 10 & 10 > 5 metni kodlanınca 5 < 10 & 10 > 5 olur; bu, doğru görünür ve işaretlemeyle karıştırılamaz.

Bilinmesi Gerekenler

• İsimli ve sayısal varlıklar aynı karakteri farklı biçimde temsil eder. ' (isimli) ile ' (sayısal) ikisi de tek tırnak anlamına gelir, ama isimli varlıklar ayrıştırıcının o ismi tanımasına bağlıdır — sayısal varlıklar (ondalık veya &#x onaltılık) evrensel desteklenir ve makine üretimi çıktı için daha güvenlidir.
• Kodlama tek savunma değildir. Metin içeriğini korur; öznitelikler, URL'ler ve satır içi JavaScript bağlamları kendi kaçış kurallarını gerektirir, çünkü href="javascript:..." içindeki bir değer veya bir <script> bloğu, düz gövde metninden farklı kurallarla ayrıştırılır.
• Dönüşüm yereldir. Bu araç tarayıcınızın kendi DOM ayrıştırıcısını kullanır — hiçbir şey yüklenmez veya kaydedilmez.
• Her sunucu-taraflı şablon dili varsayılan olarak otomatik kaçış (auto-escape) yapmaz. Bazıları (eski PHP çıktısı veya ham string birleştirme gibi) kaçış fonksiyonunu açıkça çağırmanızı gerektirir — bunu unutmak, gerçek dünyadaki XSS hatalarının en yaygın kaynaklarından biridir.
• Bazı entity'ler görsel olarak neredeyse ayırt edilemez. Örneğin düz tek tırnak (') ile tipografik tek tırnak (’) ekranda çok benzer görünür ama farklı bayt dizileridir; kod veya URL içeren metinlerde bu fark önemli olabilir.

Somut bir örnek: Güzel yazı! 5 < 10, değil mi? içeren bir yorum alanı düz metin olarak özel bir işlem gerektirmez, ama bu metin HTML şablonuna kaçışsız eklenir eklenmez, kötü niyetli bir ziyaretçi bunun yerine <img src=x onerror=alert(1)> gönderebilir — kodlama bunu çalışan bir görsel-hata işleyicisi yerine zararsız, görünür bir metne dönüştürür. Bu araç aynı zamanda tersten de işe yarar: entity dolu bir sayfa kaynağını (view-source) okurken, eski bir CMS'ten dışa aktarılan içeriği temizlerken veya entity-kodlu "ve" işareti gerektiren bir e-posta şablonu için metin hazırlarken.