HTML 实体转换

& 是 &,< 是小于号 ," 是双引号, 是不换行空格。它们叫命名实体——因为在 HTML 里 & 这些字符有语法含义,直接写会被当成标签解析,必须转义。工具内置 40 多个常用命名实体,双向都能识别。

HTML 转义与还原，支持命名实体与十进制/十六进制数字实体。

本地计算 · 数据不出浏览器

原文

0 字符1 行0 B

编码结果

转换结果会显示在这里

0 字符1 行0 B

使用说明

网页里显示代码示例、显示用户评论、显示含特殊字符的文案,都绕不开 HTML 实体:不转义页面就乱,转义过头满屏 &。这个工具双向互查:编码方向把特殊字符安全转义(两档力度:仅必要字符,或全非 ASCII),解码方向把命名实体与数字实体还原成原文,来路不明的编码文本一贴即明。

命名实体:40+ 常用实体双向识别。数字实体:十进制与十六进制两种写法解码。两档编码:必要字符最小转义,或全非 ASCII 最大兼容。防注入对照:展示用户输入应转义的最小集合。

写技术博客展示 HTML 代码时,先转义再贴入代码块;处理爬虫抓到的含实体文本,先解码再入库;排查「页面显示 & 而不是 &」,贴进来一看便知是转义了两次。

小技巧:解码方向支持混合文本,只还原实体部分,其余文字原样保留,适合处理整段 HTML 片段。

& < > 这些实体分别代表什么?

& 是 &,< 是小于号 <,> 是大于号 >," 是双引号,  是不换行空格。它们叫命名实体——因为在 HTML 里 & < > 这些字符有语法含义,直接写会被当成标签解析,必须转义。工具内置 40 多个常用命名实体,双向都能识别。

防 XSS 为什么要做 HTML 转义?

用户输入如果原样插入页面,攻击者可以借 <script> 注入代码。把输入内容里的 & < > " ' 统一转义成实体后,浏览器只会把它们当普通文字显示,脚本无法执行——这是防注入最基础也最有效的一环。

😀 这种数字实体是什么?

是数字字符实体,按码点引用字符:十进制写法 😀,十六进制写法 😀,都指向同一个 emoji 😀。命名实体只有常用的一批,任何字符都可以用数字实体表示。工具两种数字实体都能解码。