Codificador / Decodificador de Entidades HTML

La codificación de entidades HTML convierte los caracteres con significado especial en HTML, como <, >, & y ", en sus equivalentes de entidad (&lt;, &gt;, &amp;, &quot;). Esto evita que el contenido proporcionado por el usuario sea interpretado como marcado HTML, bloqueando los ataques de scripts entre sitios (XSS).

Las entidades con nombre usan un mnemónico: &amp; para &, &lt; para <, &copy; para ©. Las entidades numéricas usan el punto de código Unicode en decimal &#169; o hexadecimal &#xA9;, ambos representan ©. Las entidades con nombre solo existen para los caracteres más usados; cualquier carácter Unicode puede expresarse como entidad numérica. Los documentos HTML5 modernos en UTF-8 pueden usar el carácter Unicode directamente sin codificación.

Los cinco caracteres críticos para la prevención de XSS son: & → &amp;, < → &lt;, > → &gt;, " → &quot; y ' → &#x27; (o &#39;). En los valores de atributos HTML, tanto < como el carácter de comilla que rodea el atributo deben codificarse. Los motores de plantillas modernos (React, Vue, Jinja2) codifican estos caracteres automáticamente; la codificación manual solo es necesaria en la concatenación directa de cadenas.

Con UTF-8 y <meta charset="UTF-8">, la mayoría de los caracteres Unicode pueden colocarse directamente en HTML sin codificación. Las entidades HTML siguen siendo necesarias para los caracteres con significado estructural en HTML (< > & " ') y ocasionalmente para navegadores muy antiguos. Usar el carácter Unicode real (©, €, →) es preferible a las entidades con nombre en HTML moderno en UTF-8.

JavaScript: const txt = document.createElement("textarea"); txt.innerHTML = cadenaCodificada; const decodificada = txt.value. Node.js: usa la biblioteca he (npm install he): he.decode("&lt;b&gt;"). Python: from html import unescape; unescape("&lt;b&gt;") devuelve "<b>". PHP: html_entity_decode($cadena).