Кодировщик HTML-сущностей

Кодирование HTML-сущностей — это механизм преобразования специальных символов в ссылки на сущности HTML. В HTML некоторые символы имеют особое значение (например, <, >, &), и если их нужно отобразить как есть, используется кодирование сущностей. Есть две формы: именованные сущности (например, &lt;) и числовые сущности (например, &#60;). Именованные более читаемы, числовые могут представлять любой символ Unicode. HTML-encoding важен, когда текст нужно вставить в HTML без интерпретации как разметки. Символы <, >, &, кавычки и апострофы иначе могут изменить теги, атрибуты или entities. Инструмент полезен для примеров, templates, CMS-контента и отладки XSS-проблем. Контекст решает многое: HTML body, атрибуты, URL, JavaScript и CSS требуют разных правил escaping, поэтому результат нужно применять в правильном месте.

HTML использует два вида символьных ссылок, определённых WHATWG HTML Living Standard. Именованные символьные ссылки начинаются с & и заканчиваются на ;, берутся из таблицы entities.json, поддерживаемой WHATWG (около 2231 имени в текущей спецификации, включая устаревшие алиасы без завершающей точки с запятой, такие как &amp без ;). Числовые символьные ссылки используют кодовые точки Unicode в десятичном (&#60;) или шестнадцатеричном (&#x3C;) формате и могут кодировать любой символ от U+0000 до U+10FFFF, за исключением диапазона суррогатов U+D800-U+DFFF. Пять символов, которые ОБЯЗАТЕЛЬНО должны быть экранированы для сохранения синтаксической безопасности HTML: & (&amp;), < (&lt;), > (&gt;), " (&quot;) и ' (&#39;); обратите внимание, что &apos; является частью XML и HTML5, но НЕ допустим в HTML 4.01, поэтому OWASP рекомендует числовую форму &#39; для атрибутов, разделённых двойными кавычками, которые должны корректно обрабатываться устаревшими парсерами. Кодирование в этом инструменте представляет собой однопроходную замену: порядок важен, поскольку & должен экранироваться первым, иначе префиксы сущностей, вставленные для < и >, будут повторно экранированы в &amp;lt;. Декодирование использует парсер HTML браузера, присваивая входные данные innerHTML отсоединённого элемента и считывая textContent обратно; это направляет выполнение к официальному конечному автомату токенизатора в спецификации HTML (разделы 13.2.5.72-80), который корректно обрабатывает именованные, десятичные и шестнадцатеричные формы, включая некорректные входные данные, такие как отсутствующие точки с запятой. Числовое кодирование для режима полного кодирования обходит строку кодовую точку за кодовой точкой, используя String.prototype.codePointAt для обработки астральных символов, занимающих суррогатную пару UTF-16 (например, эмодзи U+1F600 становится &#128512;, а не два суррогатных значения). Предотвращение XSS требует контекстно-зависимого экранирования, а не просто кодирования HTML-сущностей. OWASP Cross-Site Scripting Prevention Cheat Sheet определяет пять различных контекстов: тело HTML, атрибут HTML (в кавычках и без), данные JavaScript (внутри <script>), CSS и URL. Экранирование HTML-сущностей покрывает только контексты 1 и 2. Для контекстов JavaScript следует использовать \xHH или \uHHHH через JSON.stringify, контексты URL требуют encodeURIComponent (RFC 3986 percent-encoding), а инлайн-обработчики событий объединяют правила, поскольку их значения проходят через парсеры и HTML, и JavaScript. Заголовок Content-Security-Policy с script-src 'self' и удалённым 'unsafe-inline' — это современный уровень защиты в глубине, который перехватывает ошибки экранирования, а DOM-приёмники, такие как innerHTML, document.write и setAttribute('on*', ...), следует заменить на textContent или управляемые фреймворком привязки (JSX в React, шаблоны с двойными фигурными скобками в Vue), которые экранируют по умолчанию.

• Именованные ссылки: около 2231 записи в WHATWG entities.json; пять обязательных к экранированию имён — &amp; &lt; &gt; &quot; &apos; (&apos; только для HTML5/XML, не для HTML 4.01)
• Числовые ссылки: десятичные &#DDDDD; и шестнадцатеричные &#xHHHH; покрывают U+0000 до U+10FFFF; суррогаты U+D800-U+DFFF и U+0000 NULL недопустимы по спецификации HTML
• Порядок экранирования: & должен заменяться первым, иначе вставленный префикс &amp; для последующих экранирований будет дважды закодирован; кодирование имеет сложность O(n) с таблицей из 5 элементов
• Декодирование через DOMParser: присвоение innerHTML отсоединённого элемента вызывает токенизатор спецификации HTML (Character reference state, разделы 13.2.5.72-80), который обрабатывает устаревшие сущности без завершающих точек с запятой
• Обработка астральных символов: используйте String.prototype.codePointAt и итерацию for...of, чтобы эмодзи и символы расширения CJK B (U+10000+) генерировали один &#NNNNN;, а не две суррогатные ссылки
• Контекстно-зависимое экранирование (правило #0 OWASP XSS Prevention Cheat Sheet): тело HTML, атрибут HTML, JavaScript, CSS и URL требуют различных способов экранирования; только HTML-сущности не останавливают XSS в приёмниках JS или URL
• Защита в глубину: Content-Security-Policy script-src 'self' (по аналогии с RFC), очистка DOMPurify по списку разрешённых для редактируемого контента и предпочтение textContent/innerText вместо innerHTML в обычном DOM-коде