無料HTMLエスケープ・アンエスケープツール - エンティティエンコーダ

A データベースから取得したコンテンツが実際の文字ではなくHTMLエンティティで表示される場合、テキストが保存前にHTMLエスケープされたことを意味します。ウェブページでこれを正しくレンダリングするには、HTMLアンエスケープツールを使用する必要があります。これにより、`&amp;` のようなエンティティが `&` に、`&lt;` が `<` に変換され、特殊文字と元の書式設定が、生のエンティティコードとしてではなく、意図したとおりに表示されるようになります。

A 当社のオンラインHTMLエスケープツールは、一括処理に最適です。スプレッドシートの列全体、または文字列のリストを入力エリアにコピー＆ペーストするだけです。ツールは即座にすべての特殊文字をHTMLエンティティに変換（エスケープ）したり、元に戻したり（アンエスケープ）します。これにより、スプレッドシート、CSV、テキストファイルからのウェブ表示用データを準備する際、XSS防止や正しいレンダリングを確実にし、大幅な時間節約になります。

A 著作権 `©`、商標 `™`、登録商標 `®` の記号がブラウザやエンコーディング間で正しく一貫して表示されるようにするには、HTMLエンティティを使用する必要があります。当社のHTMLエスケープツールは、これらの実際の記号を対応するエンティティ（例：`&copy;`、`&trade;`、`&reg;`）に変換できます。これにより、表示の問題を防ぎ、知的財産マークがウェブページ上で常に意図したとおりに表示されるようにします。

A それだけでは不十分です。エスケープは出力コンテキストを処理しますが、XSSはJavaScript実行、CSSインジェクション、属性ベースの攻撃でも発生します。適切なContent Security Policyヘッダーと入力検証も必要です。エスケープは一つの層であり、万能薬ではありません。インラインスクリプトをブロックするCSPと組み合わせてください。

A このツールでは選択的なエスケープはできません。それには理由があります。部分的にエスケープすると攻撃の隙が生まれます。たとえば < と > だけをエスケープして & を残した場合、ユーザーが &lt;script&gt; と入力すると、データベースで二重エンコードされてタグとして表示される恐れがあります。一度フルエスケープしてから出力を信頼しましょう。変なエッジケースを避けられます。

A ツールはさらにエスケープ処理を行い、`&amp;`が`&amp;amp;`に変わります。通常、これは望ましい結果ではありません。入力が生のHTML文字であり、エンティティではないことを必ず確認してください。不安な場合は少量だけ貼り付けて出力を確認しましょう。CMSからコピーしたテキストでこのミスは頻発します。

A <code>innerHTML</code>に生の<code><</code>や<code>></code>を渡すと、ブラウザがそれをマークアップとして解釈します。先にHTMLエスケープを実行しましょう。<code><</code>は<code>&lt;</code>、<code>></code>は<code>&gt;</code>に変換されます。そのエスケープ済みの文字列を<code>innerHTML</code>に代入すれば、タグがそのまま表示されます。この手順を飛ばすと、レイアウト崩れやXSSの原因になります。

A はい、必要です。多くの人がtextareaはテキスト表示が異なるため安全だと思い込んでいます。しかしブラウザは内部のHTMLも解析します。生の<や>を入れるとページが壊れたり、XSSの脆弱性が生まれます。ユーザーコンテンツを注入する前に必ずエスケープしてください。当ツールなら<を&lt;、>を&gt;に数千行でも一瞬で変換できます。

A 生データを保存し、描画時にエスケープするのが鉄則です。保存前にエスケープすると、編集時にデコードし、表示時にまたエスケープする必要があり、バグが入り込む箇所が3つに増えます。データベースはクリーンなまま保ち、ブラウザに送る直前にこのツールで処理してください。&amp;が&amp;amp;になるような二重エンコードの悲劇を避けられます。ただし静的サイトを構築しているなら、ビルド時にエスケープしても問題ありません。

A まったく別の問題を解決します。HTMLエスケープは<や>をエンティティ（&lt;、&gt;）に変換し、ブラウザがマークアップではなくテキストとして描画するようにします。URLエンコードはクエリ文字列やパスで安全に運ぶため、文字をパーセントエンコード（%3C、%3E）に変えます。これらを混同すると、微妙なバグが発生します。ユーザー入力でリンクを作る場合はURLエンコード、同じ入力をページに表示する場合はHTMLエスケープを使いましょう。別々の手順、別々のツールです——このツールはHTMLだけを扱います。確認のコツ：URLに&の代わりに%26が見えたら、それはエスケープではなくエンコードです。それぞれの層で正しい方を選べば、二重エンコードの混乱を避けられます。