什麼是 HTML 實體編碼與解碼？
HTML 實體編碼的目的是把 `<`、`>`、`&`、引號這類帶有標記語義的字元，改寫成瀏覽器能安全當作文字顯示的形式；反過來，HTML 實體解碼則把這些序列還原成正常字元。它最常見的價值，是在你必須把原始文字放進 HTML 片段、模板輸出或富文字時，避免文字被誤當成真實標籤的一部分。
最常見的三種實體形式
實際工作裡，HTML 實體通常有命名實體、十進位數字實體和十六進位數字實體三種常見形態。它們解決的都是「讓字元脫離 HTML 語法」的問題，但可讀性和相容性略有不同。
- 像 `&`、`"` 這樣的命名實體更易讀，人工編輯 HTML 時最常見。
- 像 `&` 這樣的十進位數字實體，本質上是用十進位碼點值表示字元。
- 像 `&` 這樣的十六進位數字實體，則是同一個碼點的十六進位寫法，產生內容中也很常見。
如何使用這個工具
- 需要展示字面 HTML 字元时用编码模式，需要恢复可读文字时用解码模式。
- 粘贴 HTML 片段或实体文字，重点檢查尖括号、& 符号、引号和单引号的處理。
- 確認目標場景是渲染標記还是显示字面文字后，再複製最終结果。
HTML 實體編碼/解碼 範例
這個 HTML 實體編碼/解碼 示例使用有代表性的HTML 片段、实体文字、CMS 欄位、文档示例和字面標籤字元，展示產生后的適合安全展示的实体文字或还原后的可见字元，便于你先確認尖括号、& 符号、引号、单引号、數字实体，以及輸出是否会被当作 HTML 渲染，再把同样設定用于真实輸入。
範例輸入
<button aria-label="Save & close">Save</button>
預期輸出
<button aria-label="Save & close">Save</button>經典實體範例
<button aria-label="Save & close">Save</button>
編碼後會變成
<button aria-label="Save & close">Save</button>常見真實場景
HTML 實體編碼最常見的用途，不是「為了看起來專業」，而是避免真實文字在 CMS、富文字欄位、郵件模板、知識庫、工單系統或程式碼範例裡被瀏覽器當成標記執行。
- 把複製來的程式碼或標籤範例放進文件前先做轉義。
- 把富文字或 CMS 輸出解碼回來，檢查使用者最終會看到的真實字元。
- 排查同一欄位經過多個系統後出現的「雙重轉義」問題。
常見使用場景
HTML 實體編碼/解碼 最適合用在HTML 片段、实体文字、CMS 欄位、文档示例和字面標籤字元需要快速变成適合安全展示的实体文字或还原后的可见字元的場景，尤其是CMS 清理、文档示例、转义標記審查、邮件模板和富文字交接。
- 用于编码 HTML 保留字元或解码 HTML 实体，服务于CMS 清理、文档示例、转义標記審查、邮件模板和富文字交接。
- 處理重要輸入前，可先用示例流程確認尖括号、& 符号、引号、单引号、數字实体，以及輸出是否会被当作 HTML 渲染。
- 当结果符合目標流程后，再複製或下载適合安全展示的实体文字或还原后的可见字元。
仍然需要人工判断的上下文边界
实体编码能降低瀏覽器误解析的风险，但它并不能把所有 HTML 上下文自动统一起来。元素文字、属性值、内联事件處理器、模板引擎和清洗层面对字元的敏感点并不完全相同，所以“已经转义过”不等于“在任何地方都安全”。這也是為什么很多頁面问题并不是编码没做，而是做在了错误的上下文里。
- 用于可见文字的转义規則，并不完全等同于所有属性值或脚本嵌入場景的規則。
- 如果源内容本来就已经转义过，再做一次编码会让最終展示对用户变得不可读。
- 实体编码應被看作 HTML 安全與内容清洗流程中的一层，而不是完整替代方案。
常見誤區與邊界
最常見的問題是把 HTML 實體拿去解決不屬於 HTML 的問題。HTML 實體只負責 HTML 標記語境下的字元安全，它不能取代 URL 編碼、JSON 跳脫或 JavaScript 字串跳脫。
- 重複編碼會把 `&` 先變成 `&`，再變成 `&amp;`，這是很多渲染錯亂的根源。
- 過早解碼也可能把原本安全的文字重新變回可執行標記，特別是在模板或預覽介面裡。
HTML 實體和相鄰編碼方式的差異
| 格式 | 主要解決 | 典型場景 |
|---|---|---|
| HTML 實體 | 字元被誤當作 HTML 結構 | 模板、文件、CMS 富文字 |
| URL 編碼 | URI 語法裡的不安全位元組 | 查詢參數、路徑片段 |
| Unicode 跳脫 | 在程式碼或資料裡顯式表示碼點 | JavaScript 字串、JSON 片段 |
使用注意
- 複用適合安全展示的实体文字或还原后的可见字元前，先檢查尖括号、& 符号、引号、单引号、數字实体，以及輸出是否会被当作 HTML 渲染。
- 实体编码有助于展示字面字元，但它不是完整的 HTML 清洗或 XSS 防护方案。
- 当结果会影响生产工作或客户可见内容时，應保留原始HTML 片段、实体文字、CMS 欄位、文档示例和字面標籤字元以便回退和核对。
HTML 實體編碼/解碼 參考說明
HTML 實體編碼/解碼 重點強調這不是加密，而是 HTML 情境跳脫：把保留字元替換成實體，避免它們被瀏覽器當成標籤或語法。
- HTML 實體編碼會把 `<`、`>`、`&`、引號和單引號等保留字元替換成命名實體或數字實體。
- 它的底層目的是確保情境安全，讓瀏覽器顯示字面字元，而不是把它當成標籤或語法繼續解析。
- 解碼時會執行反向映射，把實體文字重新還原成可讀字元內容。
參考資料
常見問題
以下問題圍繞 HTML 實體編碼/解碼 的實際用途整理，重點說明輸入要求、輸出結果與常見限制。跳脫 HTML 敏感字元，或將 HTML 實體解碼回文字。
HTML 實體編碼/解碼 里的实体编码，和 HTML 清洗是一回事吗？
不是。实体编码解决的是“如何按字面显示字元”，并不会完成完整的 HTML 清洗，也不能单独覆盖所有 XSS 上下文。
什么时候應该在 HTML 實體編碼/解碼 里解码 HTML 实体？
当你從文档、CMS 欄位或被转义的標記里複製出来的是实体文字，需要恢复成可读字元时，就適合解码。把结果贴回可渲染頁面前，仍應先確認目標上下文。
HTML 實體編碼/解碼 也應该编码引号和单引号吗？
如果文字要进入 HTML 属性，或者你希望结果在不同 HTML 上下文里都保持字面含义，那么就應该處理引号和单引号。属性边界特别容易被未转义的引号破坏。
HTML 實體編碼/解碼 最適合處理什麼樣的HTML 片段、实体文本、CMS 字段、文档示例和字面标签字符？
HTML 實體編碼/解碼 的核心用途是编码 HTML 保留字元或解码 HTML 实体。当HTML 片段、实体文字、CMS 欄位、文档示例和字面標籤字元需要快速变成適合安全展示的实体文字或还原后的可见字元，并继续用于CMS 清理、文档示例、转义標記審查、邮件模板和富文字交接时，它最有价值。
複用 HTML 實體編碼/解碼 產生的适合安全展示的实体文本或还原后的可见字符前，最該檢查什麼？
應優先檢查尖括号、& 符号、引号、单引号、數字实体，以及輸出是否会被当作 HTML 渲染。這些细节最能直接判断结果是否已经適合继续交给下游流程。
HTML 實體編碼/解碼 產生的适合安全展示的实体文本或还原后的可见字符通常會被帶到哪裡繼續使用？
最常见的下一步就是用于CMS 清理、文档示例、转义標記審查、邮件模板和富文字交接。這類輸出是按真实交接場景来组织的，不是泛化占位结果。
什麼時候不應該直接相信 HTML 實體編碼/解碼 的結果，而要人工複核？
实体编码有助于展示字面字元，但它不是完整的 HTML 清洗或 XSS 防护方案。