Codificador de Entidades HTML

El encoding HTML es necesario cuando se inserta contenido generado por el usuario en una página HTML. Sin encoding, caracteres como < > & " pueden interpretarse como código HTML, causando vulnerabilidades XSS (Cross-Site Scripting). Es esencial en todas las plantillas que muestran datos no confiables.

&amp; es una entidad nombrada (named entity), mientras que &#38; es una entidad numérica decimal (y &#x26; es la hexadecimal). Todas representan el carácter "&". Las entidades nombradas son más legibles, las numéricas son universalmente compatibles. Ambas son válidas en HTML5.

Los espacios normales no requieren encoding en HTML. &nbsp; (Espacio inquebrantable) es un espacio especial que impide el ajuste de línea y crea un espacio incompresible. Se usa cuando se quiere mantener espacios entre palabras que no deben separarse en líneas diferentes.

El encoding HTML de caracteres especiales es la primera línea de defensa contra XSS, pero no es suficiente por sí solo. También hay que: usar Content Security Policy (CSP), validar el input en el servidor, sanitizar las URL (javascript:// es peligroso), y usar frameworks que protegen automáticamente (Laravel Blade con {{ }} hace el escape automáticamente).

La forma con nombre se lee mejor, la numérica, en decimal o hexadecimal, está soportada en todas partes. Representan el mismo carácter y el navegador las interpreta igual.

Cuando ya tiene un significado en el código, como los signos de menor y mayor o el ampersand, y cuando quieres asegurarte de que un símbolo raro se vea con cualquier codificación de página.

El espacio normal no. La entidad del espacio de no separación sirve cuando dos palabras no deben partirse al final de línea, por ejemplo entre un número y su unidad de medida.