什么是 HTML 实体编码与解码？
HTML 实体编码的目的是把 `<`、`>`、`&`、引号这类带有标记语义的字符，改写成浏览器能安全当作文本显示的形式；反过来，HTML 实体解码则把这些序列还原成正常字符。它最常见的价值，是在你必须把原始文本放进 HTML 片段、模板输出或富文本时，避免文本被误当成真实标签的一部分。
最常见的三种实体形式
实际工作里，HTML 实体通常有命名实体、十进制数字实体和十六进制数字实体三种常见形态。它们解决的都是“让字符脱离 HTML 语法”的问题，但可读性和兼容性略有不同。
- 像 `&`、`"` 这样的命名实体更易读，人工编辑 HTML 时最常见。
- 像 `&` 这样的十进制数字实体，本质上是用十进制码点值表示字符。
- 像 `&` 这样的十六进制数字实体，则是同一个码点的十六进制写法，生成内容中也很常见。
如何使用这个工具
- 需要展示字面 HTML 字符时用编码模式，需要恢复可读文本时用解码模式。
- 粘贴 HTML 片段或实体文本，重点检查尖括号、& 符号、引号和单引号的处理。
- 确认目标场景是渲染标记还是显示字面文本后，再复制最终结果。
HTML 实体编码/解码 示例
这个 HTML 实体编码/解码 示例使用有代表性的HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符，展示生成后的适合安全展示的实体文本或还原后的可见字符，便于你先确认尖括号、& 符号、引号、单引号、数字实体，以及输出是否会被当作 HTML 渲染，再把同样设置用于真实输入。
示例输入
<button aria-label="Save & close">Save</button>
预期输出
<button aria-label="Save & close">Save</button>经典实体示例
<button aria-label="Save & close">Save</button>
编码后会变成
<button aria-label="Save & close">Save</button>常见真实场景
HTML 实体编码最常见的用途，不是“为了看起来专业”，而是避免真实文本在 CMS、富文本字段、邮件模板、知识库、工单系统或代码示例里被浏览器当成标记执行。
- 把复制来的代码或标签示例放进文档前先做转义。
- 把富文本或 CMS 输出解码回来，检查用户最终会看到的真实字符。
- 排查同一字段经过多个系统后出现的“双重转义”问题。
常见使用场景
HTML 实体编码/解码 最适合用在HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符需要快速变成适合安全展示的实体文本或还原后的可见字符的场景，尤其是CMS 清理、文档示例、转义标记审查、邮件模板和富文本交接。
- 用于编码 HTML 保留字符或解码 HTML 实体，服务于CMS 清理、文档示例、转义标记审查、邮件模板和富文本交接。
- 处理重要输入前，可先用示例流程确认尖括号、& 符号、引号、单引号、数字实体，以及输出是否会被当作 HTML 渲染。
- 当结果符合目标流程后，再复制或下载适合安全展示的实体文本或还原后的可见字符。
仍然需要人工判断的上下文边界
实体编码能降低浏览器误解析的风险，但它并不能把所有 HTML 上下文自动统一起来。元素文本、属性值、内联事件处理器、模板引擎和清洗层面对字符的敏感点并不完全相同，所以“已经转义过”不等于“在任何地方都安全”。这也是为什么很多页面问题并不是编码没做，而是做在了错误的上下文里。
- 用于可见文本的转义规则，并不完全等同于所有属性值或脚本嵌入场景的规则。
- 如果源内容本来就已经转义过，再做一次编码会让最终展示对用户变得不可读。
- 实体编码应被看作 HTML 安全与内容清洗流程中的一层，而不是完整替代方案。
常见误区与边界
最常见的问题是把 HTML 实体拿去解决不属于 HTML 的问题。HTML 实体只负责 HTML 标记语境下的字符安全，它不能替代 URL 编码、JSON 转义或 JavaScript 字符串转义。
- 重复编码会把 `&` 先变成 `&`，再变成 `&amp;`，这是很多渲染错乱的根源。
- 过早解码也可能把原本安全的文本重新变回可执行标记，特别是在模板或预览界面里。
HTML 实体和相邻编码方式的区别
| 格式 | 主要解决 | 典型场景 |
|---|---|---|
| HTML 实体 | 字符被误当作 HTML 结构 | 模板、文档、CMS 富文本 |
| URL 编码 | URI 语法里的不安全字节 | 查询参数、路径片段 |
| Unicode 转义 | 在代码或数据里显式表示码点 | JavaScript 字符串、JSON 片段 |
使用注意
- 复用适合安全展示的实体文本或还原后的可见字符前，先检查尖括号、& 符号、引号、单引号、数字实体，以及输出是否会被当作 HTML 渲染。
- 实体编码有助于展示字面字符，但它不是完整的 HTML 清洗或 XSS 防护方案。
- 当结果会影响生产工作或客户可见内容时，应保留原始HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符以便回退和核对。
HTML 实体编码/解码 参考说明
HTML 实体编码/解码 重点强调这不是加密，而是 HTML 上下文转义：把保留字符替换成实体，避免它们被浏览器当成标签或语法。
- HTML 实体编码会把 `<`、`>`、`&`、引号和单引号等保留字符替换成命名实体或数字实体。
- 它的底层目的是保证上下文安全，让浏览器显示字面字符，而不是把它当成标签或语法继续解析。
- 解码时会执行反向映射，把实体文本重新还原成可读字符内容。
参考资料
常见问题
以下问题围绕 HTML 实体编码/解码 的实际用途整理，重点说明输入要求、输出结果和常见限制。转义 HTML 敏感字符，或将 HTML 实体解码回文本。
HTML 实体编码/解码 里的实体编码，和 HTML 清洗是一回事吗？
不是。实体编码解决的是“如何按字面显示字符”，并不会完成完整的 HTML 清洗，也不能单独覆盖所有 XSS 上下文。
什么时候应该在 HTML 实体编码/解码 里解码 HTML 实体？
当你从文档、CMS 字段或被转义的标记里复制出来的是实体文本，需要恢复成可读字符时，就适合解码。把结果贴回可渲染页面前，仍应先确认目标上下文。
HTML 实体编码/解码 也应该编码引号和单引号吗？
如果文本要进入 HTML 属性，或者你希望结果在不同 HTML 上下文里都保持字面含义，那么就应该处理引号和单引号。属性边界特别容易被未转义的引号破坏。
HTML 实体编码/解码 最适合处理什么样的HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符？
HTML 实体编码/解码 的核心用途是编码 HTML 保留字符或解码 HTML 实体。当HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符需要快速变成适合安全展示的实体文本或还原后的可见字符，并继续用于CMS 清理、文档示例、转义标记审查、邮件模板和富文本交接时，它最有价值。
复用 HTML 实体编码/解码 生成的适合安全展示的实体文本或还原后的可见字符前，最该检查什么？
应优先检查尖括号、& 符号、引号、单引号、数字实体，以及输出是否会被当作 HTML 渲染。这些细节最能直接判断结果是否已经适合继续交给下游流程。
HTML 实体编码/解码 生成的适合安全展示的实体文本或还原后的可见字符通常会被带到哪里继续使用？
最常见的下一步就是用于CMS 清理、文档示例、转义标记审查、邮件模板和富文本交接。这类输出是按真实交接场景来组织的，不是泛化占位结果。
什么时候不应该直接相信 HTML 实体编码/解码 的结果，而要人工复核？
实体编码有助于展示字面字符，但它不是完整的 HTML 清洗或 XSS 防护方案。