ترميز HTML وفك ترميزه

متى لا يكفي الترميز

يجعل الترميز النص يظهر كنص داخل محتوى العنصر وقيم السمات المقتبسة. لكنه لا يفعل شيئًا للرابط URL: لا تحتوي javascript:alert(1) على أحرف خاصة، لذلك تمر دون تغيير وتظل قابلة للتنفيذ عند وضعها في href. تحقق من أن الروابط تبدأ بـ https: أو /. تنطبق قواعد تهريب مختلفة داخل <script> و<style> وسمات الأحداث on…، كما تحتاج قيمة سلسلة الاستعلام إلى ترميز النسبة المئوية باستخدام مُرمّز URL قبل وضعها في سمة.

ما يتعرّف عليه فك الترميز

يُفك ترميز كل كيان رقمي، لكن ستة كيانات مسماة فقط: &، و<، و>، و"، و'، و . أما الكيانات الأخرى، مثل é أو © أو —، فتُترك كما هي. يعرّف HTML أكثر من ألفي اسم، لذا استبدل الأسماء غير المألوفة بصيغتها الرقمية، مثل é للحرف é.

النص مثل < يعني أنه رُمّز مرتين. فك ترميزه مرة واحدة، وتحقق منه، ثم فك ترميزه مرة أخرى إذا بقيت كيانات.

طريقة الاستخدام

1. اختر الترميز أو فك الترميز.
2. الصق النص أو الكيانات.
3. حوّل المحتوى وانسخ النتيجة.

الخصوصية والقيود

تتم المعالجة محليًا. يعتمد ترميز الكيانات على السياق، ولا يُعد بديلًا كاملًا عن استخدام القوالب الآمنة.