Codificador de Entidades HTML

Codificação de entidade HTML é um mecanismo que converte caracteres especiais em referências de entidades HTML. Em HTML, certos caracteres têm significados especiais (como <, >, &), e se você precisa exibir esses caracteres na página, deve usar codificação de entidade. A codificação de entidade vem em duas formas: entidades nomeadas (como &lt;) e entidades numéricas (como &#60;). Entidades nomeadas são mais legíveis, enquanto entidades numéricas podem representar qualquer caractere Unicode. A codificação HTML importa quando um texto precisa ser inserido em HTML sem ser interpretado como marcação. Caracteres como <, >, &, aspas e apóstrofos podem alterar tags, atributos ou entidades. A ferramenta é útil para exemplos, templates, conteúdo CMS e depuração de problemas ligados a XSS. O contexto continua essencial: texto HTML, atributos, URLs, JavaScript e CSS exigem regras de escape diferentes, então a saída deve ser usada no local correto.

O HTML usa dois tipos de referências de caracteres definidos pelo WHATWG HTML Living Standard. As referências de caracteres nomeadas começam com & e terminam com ;, provenientes da tabela entities.json mantida pelo WHATWG (cerca de 2.231 nomes na especificação atual, incluindo aliases legados sem ponto e vírgula final, como &amp sem o ;). As referências de caracteres numéricas usam pontos de código Unicode em formato decimal (&#60;) ou hexadecimal (&#x3C;) e podem codificar qualquer caractere de U+0000 a U+10FFFF, exceto a faixa de surrogates U+D800-U+DFFF. Os cinco caracteres que DEVEM ser escapados para preservar a segurança sintática do HTML são & (&amp;), < (&lt;), > (&gt;), " (&quot;) e ' (&#39;); observe que &apos; faz parte de XML e HTML5, mas NÃO é válido em HTML 4.01, por isso a OWASP recomenda a forma numérica &#39; para atributos delimitados por aspas duplas que precisam fazer round-trip em parsers legados. A codificação nesta ferramenta é uma substituição em passada única: a ordem importa porque & deve ser escapado primeiro, caso contrário os prefixos de entidade inseridos para < e > seriam re-escapados em &amp;lt;. A decodificação utiliza o parser HTML do navegador atribuindo a entrada ao innerHTML de um elemento destacado e lendo de volta o textContent; isso despacha para a máquina de estados do Tokenizer oficial na especificação HTML (seções 13.2.5.72 Character reference state até 13.2.5.80), que resolve corretamente formas nomeadas, decimais e hexadecimais, incluindo entradas malformadas como ponto e vírgula ausente. A codificação numérica para o modo de codificação completa percorre a string ponto a ponto de código usando String.prototype.codePointAt para lidar com caracteres astrais que ocupam um par de surrogates UTF-16 (por exemplo, emoji U+1F600 se torna &#128512; e não o fallback de dois surrogates). A prevenção de XSS requer escape consciente do contexto, não apenas codificação de entidades HTML. O OWASP Cross-Site Scripting Prevention Cheat Sheet define cinco contextos distintos: corpo HTML, atributo HTML (entre aspas ou sem aspas), dados JavaScript (dentro de <script>), CSS e URL. O escape de entidades HTML cobre apenas os contextos 1 e 2. Contextos JavaScript devem usar escapes \xHH ou \uHHHH via JSON.stringify, contextos URL precisam de encodeURIComponent (percent-encoding RFC 3986), e manipuladores de eventos inline combinam as regras porque seus valores passam pelos parsers HTML e JavaScript. Um cabeçalho Content-Security-Policy com script-src 'self' e 'unsafe-inline' removido é a camada moderna de defesa em profundidade que captura erros de escape, e sinks do DOM como innerHTML, document.write e setAttribute('on*', ...) devem ser substituídos por textContent ou bindings gerenciados por framework (JSX do React, mustache do Vue) que escapam por padrão.

• Referências nomeadas: cerca de 2.231 entradas no entities.json do WHATWG; os cinco nomes que devem ser escapados são &amp; &lt; &gt; &quot; &apos; (&apos; é apenas HTML5/XML, não HTML 4.01)
• Referências numéricas: decimal &#DDDDD; e hexadecimal &#xHHHH; cobrem U+0000 a U+10FFFF; surrogates U+D800-U+DFFF e U+0000 NULL são inválidos conforme a especificação HTML
• Ordem de escape: & deve ser substituído primeiro, caso contrário o prefixo &amp; inserido nos escapes subsequentes é duplamente codificado; a codificação é O(n) com uma tabela de lookup de 5 entradas
• Decodificação via DOMParser: atribuir ao innerHTML de um elemento destacado invoca o tokenizer da especificação HTML (Character reference state, seções 13.2.5.72-80) que lida com entidades legadas sem ponto e vírgula final
• Tratamento de caracteres astrais: use String.prototype.codePointAt e iteração for...of para que emoji e caracteres CJK extension B (U+10000+) produzam um único &#NNNNN; em vez de duas referências de surrogate
• Escape consciente do contexto (regra #0 do OWASP XSS Prevention Cheat Sheet): corpo HTML, atributo HTML, JavaScript, CSS e URL cada um precisa de escape diferente; entidades HTML sozinhas não impedem XSS em sinks JS ou URL
• Defesa em profundidade: Content-Security-Policy script-src 'self' (estilo RFC), sanitização allowlist do DOMPurify para entrada de texto rico, e preferir textContent/innerText sobre innerHTML em código DOM vanilla