Échappement et déséchappement HTML

Qu'est-ce que l'échappement HTML ?

L'échappement HTML consiste à remplacer les caractères ayant une signification particulière en HTML par des références de caractères. Par exemple, le signe « inférieur à » est représenté par <, le signe « supérieur à » par > et l'esperluette par &. Cela évite qu'ils ne soient interprétés comme des balises HTML, ce qui permet d'afficher à l'écran le code source et les chaînes de caractères saisies exactement tels quels.

L'anti-échappement fait l'inverse : il convertit les références de caractères telles que < et " en leurs symboles d'origine. Il est utile pour vérifier les chaînes échappées présentes dans les journaux, les modèles, le contenu des CMS, les corps d'e-mails, les réponses API, etc.

Cet outil n'envoie pas de données saisies au serveur ; il effectue au contraire les conversions entièrement au sein du navigateur à l'aide de JavaScript. Même lors du traitement de textes sensibles, son utilisation est plus sûre que celle d'outils de conversion impliquant une communication réseau. Toutefois, lorsque vous intégrez les résultats convertis dans une page web, veuillez vous assurer que des mesures de sécurité appropriées sont en place, en fonction du framework que vous utilisez et de l'emplacement où le contenu est affiché.

Mode d'emploi

1. Collez le code HTML ou les références de caractères que vous souhaitez convertir dans le champ de saisie.
2. Sélectionnez soit « Échapper le HTML », soit « Déséchapper le HTML ».
3. En cliquant sur « Convertir », vous serez automatiquement redirigé vers la section des résultats.
4. Si nécessaire, copiez le résultat ou intervertissez la valeur d'entrée et le résultat pour effectuer la conversion inverse.

Exemple de traduction

<div class="message">Tom & Jerry</div>
↓
&lt;div class=&quot;message&quot;&gt;Tom &amp; Jerry&lt;/div&gt;

Précautions d'utilisation

• L'échappement permet de créer des chaînes destinées à l'affichage, mais il ne remplace pas la protection contre les injections SQL ni l'encodage des URL.
• Si vous insérez une chaîne non échappée directement dans `innerHTML` ou un élément similaire, il existe un risque que des scripts soient exécutés, en fonction du contenu.
• Cet outil convertit principalement les caractères &, <, >, les guillemets doubles et les guillemets simples.

Foire aux questions

Qu'est-ce que l'échappement HTML ?

Cela implique de convertir les symboles ayant une signification particulière en HTML en références de caractères afin qu'ils puissent s'afficher correctement sous forme de texte à l'écran.

Qu'est-ce que le « déséchappement » HTML ?

Ce processus convertit les références de caractères telles que < et & en leurs formes d'origine, < et &.

Les données saisies seront-elles envoyées au serveur ?

Non. Le processus de conversion est entièrement géré par JavaScript au sein du navigateur.

Quels caractères seront convertis ?

Cette conversion porte principalement sur le signe « & », le signe « < », le signe « > », les guillemets doubles et les guillemets simples.

Les balises HTML peuvent-elles s'afficher directement à l'écran ?

Oui. Si vous utilisez le résultat échappé, il ne sera pas interprété comme une balise et s'affichera sous forme de chaîne de caractères.

Cela peut-il être utilisé comme mesure de protection contre les attaques XSS ?

Bien qu'il s'agisse là d'une des mesures de base pour l'affichage des chaînes de caractères dans le corps du contenu HTML, des mesures appropriées doivent être prises pour chaque destination de sortie, telles que les valeurs d'attributs, le JavaScript et les URL.

En quoi cela diffère-t-il de l'encodage des URL ?

L'échappement HTML cible les caractères spéciaux dans le code HTML, tandis que l'encodage d'URL convertit les caractères qui ne peuvent pas être utilisés dans les URL en une forme encodée en pourcentage.

Les sauts de ligne et les espaces seront-ils également convertis ?

Les sauts de ligne et les espaces standard seront conservés tels quels. Veuillez ajuster séparément les sauts de ligne dans l'affichage HTML à l'aide de CSS, de balises `br` ou d'autres méthodes.

Que se passe-t-il si vous appliquez un double échappement ?

Par exemple, le signe « & » < est à nouveau converti en <. Veillez à ne pas le convertir plus souvent que nécessaire.

Puis-je annuler la conversion ?

Oui. Vous pouvez annuler la modification en inversant la valeur saisie et le résultat, puis en sélectionnant la méthode de conversion inverse.

Êtes-vous capable de traduire de grands volumes de texte ?

La conversion est possible dans les limites de la puissance de traitement et de la mémoire de votre navigateur. Les performances peuvent être ralenties lors du traitement de très grands ensembles de données.