HTML Entities Encoder

L'encoding HTML è necessario quando si inserisce contenuto generato dall'utente in una pagina HTML. Senza encoding, caratteri come < > & " possono essere interpretati come codice HTML, causando vulnerabilità XSS (Cross-Site Scripting). È essenziale in tutti i template che visualizzano dati non fidati.

&amp; è un'entità denominata (named entity), mentre &#38; è un'entità numerica decimale (e &#x26; è quella esadecimale). Rappresentano tutte il carattere "&". Le entità denominate sono più leggibili, quelle numeriche sono universalmente supportate. Entrambe sono valide in HTML5.

Gli spazi normali non richiedono encoding in HTML. &nbsp; (Non-Breaking Space) è invece uno spazio speciale che impedisce il word wrap e crea uno spazio non comprimibile. Viene usato quando si vuole mantenere gli spazi tra parole che non devono essere separate su righe diverse.

L'encoding HTML dei caratteri speciali è il primo livello di difesa contro XSS, ma non è sufficiente da solo. Bisogna anche: usare Content Security Policy (CSP), validare l'input lato server, sanitizzare gli URL (javascript:// è pericoloso), e usare framework che proteggono automaticamente (Laravel Blade con {{ }} fa l'escape automaticamente).

La forma con il nome si legge meglio, quella numerica in decimale o esadecimale è supportata sempre e ovunque. Rappresentano lo stesso carattere e il browser le interpreta nello stesso modo.

Quando il carattere ha già un significato nel codice, come le parentesi angolari e la e commerciale, e quando si vuole essere certi che un simbolo raro venga mostrato con qualsiasi codifica di pagina.

Lo spazio normale no. Serve invece la entità dello spazio insecabile quando due parole non devono essere separate a fine riga, per esempio fra un numero e la sua unità di misura.