Konversi Entitas HTML
HTML membutuhkan lima karakter yang di-escape: & menjadi &, < menjadi <, > menjadi >, " menjadi ", dan ' menjadi '. Decode <b> menghasilkan <b>.
Cara memakai
- Pilih Encode untuk mengubah teks menjadi entitas, atau Decode untuk mengembalikan entitas menjadi teks, lalu tempel teks Anda.
- Saat encode, pilih cakupannya. Dasar hanya meng-escape lima karakter yang tidak aman di HTML. Bernama memakai nama seperti © kalau ada. Desimal dan Heksadesimal mengubah semua karakter non-ASCII menjadi entitas angka.
- Salin hasilnya. Saat decode, alat ini juga memberi tahu berapa entitas yang ditemukan.
Cara menghitung
Entitas HTML diawali &, diakhiri titik koma, dan mewakili satu karakter. Bentuknya bisa nama (&), code point desimal (&), atau code point heksadesimal (&). Ketiganya berarti sama.
Lima karakter wajib di-escape di teks dan nilai atribut: & < > " dan '. Kalau & atau < dibiarkan, browser bisa membacanya sebagai awal entitas atau tag. Apostrof ditulis ' karena ' bukan bagian dari HTML 4.
Entitas bernama tersedia untuk rentang Latin-1 (huruf beraksen, ©, ®, £, dan sejenisnya) serta tipografi umum seperti —, …, dan €. Karakter tanpa nama, seperti aksara non-Latin atau emoji, selalu memakai entitas angka. Emoji di-encode per code point, jadi satu emoji menjadi satu entitas, bukan dua.
Saat decode, apa pun yang tidak dikenali dibiarkan apa adanya. Entitas angka untuk nol, nilai di atas U+10FFFF, atau separuh surrogate menjadi karakter pengganti U+FFFD, sama seperti browser.
Entitas HTML yang sering dipakai
| Karakter | Nama | Angka |
|---|---|---|
| & | & | & |
| < | < | < |
| > | > | > |
| " | " | " |
| ' | (tidak ada di HTML 4) | ' |
| spasi tak terputus | |   |
| © | © | © |
| € | € | € |
| — | — | — |
| … | … | … |
Pertanyaan umum
Apakah encode melindungi dari XSS?
Meng-escape lima karakter itu adalah solusi yang tepat saat menaruh teks tak tepercaya di dalam konten elemen HTML atau atribut berkutip. Tapi tidak membantu di dalam blok script, atribut tanpa kutip, atau URL, yang masing-masing butuh escape sendiri.
Apakah huruf beraksen atau emoji perlu di-encode?
Tidak, kalau halaman dikirim sebagai UTF-8, yang kini menjadi standar. Pakai entitas angka hanya kalau file atau sistem Anda tidak bisa menyimpan karakter tersebut.
Apa beda dengan spasi biasa?
Non-breaking space terlihat seperti spasi, tapi menahan kata di kedua sisinya tetap di satu baris, dan beberapa yang berurutan tidak digabung. Gunakan secukupnya untuk tata letak.
Kenapa nama seperti &foo; tidak berubah?
Decoder mengenal nama Latin-1 dan nama umum di tabel panduan, sekitar 130 totalnya. Entitas yang tidak dikenal dibiarkan seperti tertulis, bukan ditebak.
Apakah teks saya dikirim ke server?
Tidak. Encode dan decode berjalan di browser Anda.