Escapar HTML Grátis: Codificar e Decodificar Entidades HTML Online

A Sozinho não. O escape lida com o contexto de saída, mas XSS também acontece por execução de JavaScript, injeção CSS ou ataques baseados em atributos. Você precisa de cabeçalhos Content Security Policy e validação de entrada. Veja o escape como uma camada, não uma solução mágica. Combine com uma CSP que bloqueie scripts inline.

A Nossa ferramenta não permite escape seletivo, e por um bom motivo. Escapar parcialmente deixa brechas que atacantes podem explorar. Digamos que você escape < e >, mas deixe o & de fora. Um usuário digitando &lt;script&gt; pode gerar uma tag real se seu banco de dados codificar duplamente. Passe tudo pelo escape completo uma vez e confie na saída. Você evita casos bizarros.

A A ferramenta escapará novamente, transformando `&amp;` em `&amp;amp;`. Normalmente não é isso que você quer. Sempre confira se sua entrada são caracteres HTML puros, não entidades. Na dúvida, cole uma pequena amostra e veja o resultado. Esse erro é comum ao copiar texto de um CMS que já escapou o conteúdo antes.

A Você está passando caracteres <code><</code> e <code>></code> sem tratamento via JavaScript. Com <code>innerHTML</code>, o navegador interpreta isso como marcação, não como texto. Faça o escape HTML primeiro — isso converte <code><</code> em <code>&lt;</code> e <code>></code> em <code>&gt;</code>. Depois atribua a versão escapada ao <code>innerHTML</code>. O navegador exibirá as tags como caracteres literais. Pule essa etapa e você terá layouts quebrados ou uma brecha XSS.

A Sim, precisa. Muita gente acha que textareas são zonas seguras porque renderizam texto de forma diferente. O navegador ainda interpreta HTML lá dentro. Coloque < e > brutos, e você quebra a página ou cria uma brecha XSS. Escape sempre o conteúdo do usuário antes de injetar. Nossa ferramenta converte < em &lt; e > em &gt; em segundos, mesmo com milhares de linhas.

A Salve os dados brutos e escape no momento da renderização. Essa regra evita os pesadelos da dupla codificação. Se você escapar antes de salvar, depois vai precisar desescapar para editar e escapar de novo para exibir — três lugares para bugs aparecerem. Mantenha o banco limpo e passe tudo por esta ferramenta imediatamente antes de enviar ao navegador. Você evita o problema de &amp; virar &amp;amp; e usuários vendo texto quebrado. Exceção: se estiver criando um site estático, escapar no build também funciona bem.

A Eles resolvem problemas completamente diferentes. O escape HTML converte caracteres como < e > em entidades (&lt;, &gt;) para que o navegador os renderize como texto, não como marcação. A codificação URL transforma caracteres em valores percentuais (%3C, %3E) para transporte seguro em strings de consulta e caminhos. Misturá-los gera erros sutis. Se você está montando um link com entrada do usuário, codifique a URL. Se está exibindo essa mesma entrada numa página, escape o HTML. Duas etapas separadas, duas ferramentas distintas—esta só lida com HTML. Teste rápido: se sua URL mostra %26 onde deveria ter &, isso é codificação, não escape. Use a certa em cada camada e você evita bugs de dupla codificação que consomem horas.

A Só se você escapar a camada errada. Envolva primeiro o trecho em tags <code> ou <pre>, e só então escape o conteúdo interno. Assim <div class="box"> vira &lt;div class="box"&gt; e aparece como texto visível, não como um div real. Fazer isso à mão num exemplo de 200 linhas é pedir para desistir. Cole o bloco inteiro na ferramenta, copie a saída — indentação e quebras de linha saem intactas.

A Não, a decodificação deixa os comentários de código padrão totalmente intactos, a menos que contenham caracteres codificados como &lt; ou &gt;. Cole o seu texto na caixa e o decodificador processa tudo em menos de 0,1 segundos. Vai obter código limpo instantaneamente.

A Engenheiros de dados usam nossa ferramenta para higienizar strings brutas de web scraping antes de inseri-las em bancos de dados. Você pode colar até 50.000 caracteres de entidades HTML e decodificá-los instantaneamente em texto puro. Scripts em Python às vezes travam com símbolos `&amp;` ou `&#39;` esquecidos em comandos SQL. Passar os dados por este decodificador evita horas de dor de cabeça. Faça a limpeza antes de salvar.