Échapper du HTML
Rendez n'importe quel texte sûr à placer dans du HTML, pour qu'il s'affiche tel qu'il est écrit au lieu d'être lu comme du balisage.
Texte
Encodé
Échapper du HTML en ligne
Montrer du code dans un article de blog, insérer un nom de produit dans un modèle ou afficher ce qu'un utilisateur a saisi exigent la même étape : transformer en entités les caractères que le HTML traite comme de la syntaxe. Cette page ouvre l'encodeur d'entités HTML en mode encodage, avec un exemple.
Avant et après
| Texte | Échappé |
|---|---|
<p>Hello</p> | <p>Hello</p> |
Tom & Jerry | Tom & Jerry |
say "hi" | say "hi" |
Échapper dans le code
| Langage | Fonction |
|---|---|
| PHP | htmlspecialchars($s, ENT_QUOTES) |
| Python | html.escape(s) |
| JavaScript (DOM) | définir textContent au lieu de innerHTML |
| Modèles | Twig, Jinja, Blade et React échappent la sortie par défaut |
Si votre moteur de modèles échappe déjà la sortie, n'échappez pas le texte une première fois avant, sinon les visiteurs verront &amp; au lieu de &.
Outils associés
Pour faire l'inverse, utilisez décoder des entités HTML. Pour du texte destiné à une URL plutôt qu'à une page, utilisez l'encodeur d'URL.