HTML escapen
Machen Sie jeden Text sicher für HTML, damit er so angezeigt wird, wie er geschrieben ist, statt als Markup gelesen zu werden.
Text
Kodiert
HTML online escapen
Code in einem Blogartikel zeigen, einen Produktnamen in ein Template setzen oder anzeigen, was ein Nutzer eingegeben hat: Alles braucht denselben Schritt, nämlich die Zeichen, die HTML als Syntax behandelt, in Entities umzuwandeln. Diese Seite öffnet den HTML Entity Encoder im Kodiermodus mit einem Beispiel.
Vorher und nachher
| Text | Maskiert |
|---|---|
<p>Hello</p> | <p>Hello</p> |
Tom & Jerry | Tom & Jerry |
say "hi" | say "hi" |
Escapen im Code
| Sprache | Funktion |
|---|---|
| PHP | htmlspecialchars($s, ENT_QUOTES) |
| Python | html.escape(s) |
| JavaScript (DOM) | textContent statt innerHTML setzen |
| Templates | Twig, Jinja, Blade und React maskieren die Ausgabe standardmäßig |
Maskiert Ihre Template-Engine die Ausgabe bereits, maskieren Sie den Text nicht vorher noch einmal, sonst sehen Besucher &amp; statt &.
Verwandte Werkzeuge
Für den umgekehrten Weg nutzen Sie HTML-Entities dekodieren. Für Text, der in eine URL statt in eine Seite gehört, nutzen Sie den URL-Encoder.