HTML Entities Encoder

L'encoding HTML è necessario quando si inserisce contenuto generato dall'utente in una pagina HTML. Senza encoding, caratteri come < > & " possono essere interpretati come codice HTML, causando vulnerabilità XSS (Cross-Site Scripting). È essenziale in tutti i template che visualizzano dati non fidati.

&amp; è un'entità denominata (named entity), mentre &#38; è un'entità numerica decimale (e &#x26; è quella esadecimale). Rappresentano tutte il carattere "&". Le entità denominate sono più leggibili, quelle numeriche sono universalmente supportate. Entrambe sono valide in HTML5.

Gli spazi normali non richiedono encoding in HTML. &nbsp; (Non-Breaking Space) è invece uno spazio speciale che impedisce il word wrap e crea uno spazio non comprimibile. Viene usato quando si vuole mantenere gli spazi tra parole che non devono essere separate su righe diverse.

L'encoding HTML dei caratteri speciali è il primo livello di difesa contro XSS, ma non è sufficiente da solo. Bisogna anche: usare Content Security Policy (CSP), validare l'input lato server, sanitizzare gli URL (javascript:// è pericoloso), e usare framework che proteggono automaticamente (Laravel Blade con {{ }} fa l'escape automaticamente).