HTML Entity-Kodierungswerkzeug

HTML Entity-Kodierung ist ein Mechanismus, der Sonderzeichen in HTML-Entity-Referenzen umwandelt. In HTML haben bestimmte Zeichen eine besondere Bedeutung (wie <, >, &). Um diese Zeichen auf der Seite anzuzeigen, muss Entity-Kodierung verwendet werden. Es gibt zwei Formen: benannte Entities (wie &lt;) und numerische Entities (wie &#60;). Benannte Entities sind lesbarer, numerische Entities können beliebige Unicode-Zeichen darstellen. HTML-Encoding ist wichtig, wenn Text in HTML eingefügt wird, ohne als Markup interpretiert zu werden. Zeichen wie <, >, &, Anführungszeichen und Apostroph können sonst Tags, Attribute oder Entities verändern. Das Werkzeug hilft bei Beispielen, Templates, CMS-Inhalten und Debugging von XSS-Problemen. Kontext bleibt entscheidend: HTML-Text, Attribute, URLs, JavaScript und CSS benötigen unterschiedliche Escaping-Regeln.

HTML verwendet zwei Arten von Zeichenreferenzen, die im WHATWG HTML Living Standard definiert sind. Benannte Zeichenreferenzen beginnen mit & und enden mit ;, basierend auf der entities.json-Tabelle von WHATWG (ca. 2.231 Namen in der aktuellen Spezifikation, darunter Legacy-Aliase ohne abschließendes Semikolon wie &amp ohne ;). Numerische Zeichenreferenzen verwenden Unicode-Codepunkte in dezimaler (&#60;) oder hexadezimaler (&#x3C;) Form und können jedes Zeichen von U+0000 bis U+10FFFF kodieren, außer dem Surrogate-Bereich U+D800–U+DFFF. Die fünf Zeichen, die zur Wahrung der HTML-Syntaxis-Sicherheit maskiert werden MÜSSEN, sind & (&amp;), < (&lt;), > (&gt;), " (&quot;) und ' (&#39;); &apos; ist zwar Teil von XML und HTML5, aber NICHT gültig in HTML 4.01, weshalb OWASP die numerische Form &#39; für Attribute in doppelten Anführungszeichen empfiehlt, die über Legacy-Parser hin- und hergereicht werden müssen. Die Kodierung in diesem Werkzeug ist ein einstufiger Ersetzungsvorgang: Die Reihenfolge ist entscheidend, da & zuerst maskiert werden muss, sonst würden die für < und > eingefügten Entity-Präfixe selbst zu &amp;lt; doppelt kodiert. Die Dekodierung nutzt den HTML-Parser des Browsers, indem die Eingabe dem innerHTML eines losgelösten Elements zugewiesen und textContent zurückgelesen wird; dies ruft die offizielle Tokenizer-Zustandsmaschine der HTML-Spezifikation auf (Abschnitte 13.2.5.72 Zeichenreferenzzustand bis 13.2.5.80), die benannte, dezimale und hexadezimale Formen korrekt auflöst, einschließlich fehlerhafter Eingaben wie fehlender Semikola. Die numerische Kodierung für den Vollkodierungsmodus durchläuft die Zeichenkette Codepunkt für Codepunkt mit String.prototype.codePointAt, um astrale Zeichen zu behandeln, die ein UTF-16-Surrogate-Paar belegen (z. B. wird Emoji U+1F600 zu &#128512; statt der Zwei-Surrogate-Fallback-Darstellung). Die XSS-Prävention erfordert kontextbewusstes Escaping, nicht nur HTML-Entity-Kodierung. Das OWASP Cross-Site Scripting Prevention Cheat Sheet definiert fünf unterschiedliche Kontexte: HTML-Body, HTML-Attribut (mit/ohne Anführungszeichen), JavaScript-Daten (innerhalb von <script>), CSS und URL. HTML-Entity-Escaping deckt nur die Kontexte 1 und 2 ab. JavaScript-Kontexte sollten \xHH- oder \uHHHH-Escapes über JSON.stringify verwenden, URL-Kontexte benötigen encodeURIComponent (RFC 3986-Prozentkodierung), und Inline-Event-Handler verkomplizieren die Regeln, da ihre Werte sowohl durch den HTML- als auch den JavaScript-Parser geleitet werden. Ein Content-Security-Policy-Header mit script-src 'self' und entferntem 'unsafe-inline' ist die moderne Defense-in-Depth-Schicht, die Escaping-Fehler abfängt, und DOM-Sinks wie innerHTML, document.write und setAttribute('on*', ...) sollten durch textContent oder Framework-verwaltete Bindings (React's JSX, Vue's Mustache-Syntax) ersetzt werden, die standardmäßig escapen.

• Benannte Referenzen: ca. 2.231 Einträge in WHATWG entities.json; die fünf Pflicht-Escape-Namen sind &amp; &lt; &gt; &quot; &apos; (&apos; ist nur HTML5/XML, nicht HTML 4.01)
• Numerische Referenzen: dezimal &#DDDDD; und hexadezimal &#xHHHH; decken U+0000 bis U+10FFFF ab; Surrogate U+D800–U+DFFF und U+0000 NULL sind laut HTML-Spezifikation ungültig
• Maskierungsreihenfolge: & muss zuerst ersetzt werden, sonst wird das eingefügte &amp;-Präfix nachfolgender Maskierungen doppelt kodiert; die Kodierung ist O(n) mit einer 5-Einträge-Lookup-Tabelle
• Dekodierung über DOMParser: Zuweisung an das innerHTML eines losgelösten Elements löst den HTML-Spezifikations-Tokenizer aus (Zeichenreferenzzustand, Abschnitte 13.2.5.72–80), der Legacy-Entities ohne abschließende Semikola korrekt verarbeitet
• Astrale Zeichenverarbeitung: Verwendung von String.prototype.codePointAt und for...of-Iteration, sodass Emoji- und CJK-Erweiterung-B-Zeichen (U+10000+) ein einzelnes &#NNNNN; erzeugen statt zweier Surrogate-Referenzen
• Kontextbewusstes Escaping (OWASP XSS Prevention Cheat Sheet Regel #0): HTML-Body, HTML-Attribut, JavaScript, CSS und URL benötigen jeweils unterschiedliches Escaping; HTML-Entities allein stoppen XSS nicht in JS- oder URL-Sinks
• Defense in Depth: Content-Security-Policy script-src 'self' (RFC-Stil), DOMPurify-Allowlist-Sanitization für Rich-Text-Eingaben, und Bevorzugung von textContent/innerText gegenüber innerHTML in Vanilla-DOM-Code