Apa itu pelolosan (escaping) HTML?

Pelolosan HTML menggantikan karakter seperti ' ' dengan entitas seperti '<' and '>' sehingga browser menampilkannya sebagai teks alih-alih mengeksekusinya sebagai kode.

Apakah kode saya aman?

Ya, semua pemrosesan dilakukan secara lokal melalui JavaScript, sehingga kode sumber Anda tidak pernah dikirim ke server eksternal.

Apa itu entitas HTML?

Entitas HTML adalah kode khusus yang mewakili karakter yang memiliki arti dalam markup HTML. Misalnya, < harus ditulis sebagai < di dalam HTML untuk mencegah browser memperlakukannya sebagai pembuka tag.

Kapan saya harus meng-encode input pengguna dengan HTML?

Selalu encode teks yang disediakan pengguna sebelum menyisipkannya ke HTML untuk mencegah serangan Cross-Site Scripting (XSS). Karakter apa pun yang dapat diinterpretasikan sebagai HTML — terutama , &, dan " — harus di-escape.

Apa perbedaan antara HTML encoding dan URL encoding?

HTML encoding meng-escape karakter yang memiliki arti khusus di dalam dokumen HTML (misalnya & untuk &). URL encoding meng-escape karakter yang tidak valid atau ambigu di dalam URL (misalnya %26 untuk &). Keduanya adalah skema terpisah yang digunakan dalam konteks berbeda.

Apakah encoding HTML melindungi terhadap serangan XSS?

Encoding HTML adalah salah satu lapisan pencegahan XSS (Cross-Site Scripting), tetapi harus diterapkan dalam konteks yang tepat. Mengkodekan input pengguna sebagai entitas HTML (< > & ") mencegah tag yang disuntikkan ditafsirkan sebagai markup saat output ditempatkan di dalam konten elemen HTML. Namun, ini tidak cukup di semua konteks — parameter URL, string JavaScript, nilai CSS, dan atribut HTML masing-masing memerlukan escape yang sesuai konteks. Selalu kombinasikan encoding HTML dengan Content Security Policy dan validasi input sisi server.

Encoder/Decoder HTML — Escape Entitas HTML Gratis Online

Tentang Enkode/Dekode HTML

Ubah kode HTML mentah menjadi entitas HTML yang diloloskan atau sebaliknya. Utilitas penting bagi pengembang untuk mencegah serangan XSS atau menampilkan cuplikan kode dengan aman di situs web.

Cara Menggunakan

Pilih antara mode 'Enkode (Escape)' dan 'Dekode (Unescape)'.
Masukkan string HTML Anda ke dalam kotak teks atas.
Tekan tombol proses untuk menerapkan transformasi.
Salin hasilnya untuk digunakan dalam proyek atau dokumentasi Anda.

Kasus Penggunaan Umum

Meloloskan input pengguna untuk mencegah injeksi skrip dalam formulir web.
Memformat contoh kode untuk ditampilkan di blog teknis.
Mendekode entitas dalam data web yang diambil (scraped).

Detail teknis

Menerapkan pemetaan karakter untuk semua entitas HTML utama ( <, >, &, ", ') untuk memastikan perenderan yang aman di lingkungan web.

Pertanyaan Umum

Apa itu pelolosan (escaping) HTML?: Pelolosan HTML menggantikan karakter seperti '<' and '>' dengan entitas seperti '<' and '>' sehingga browser menampilkannya sebagai teks alih-alih mengeksekusinya sebagai kode.
Apakah kode saya aman?: Ya, semua pemrosesan dilakukan secara lokal melalui JavaScript, sehingga kode sumber Anda tidak pernah dikirim ke server eksternal.
Apa itu entitas HTML?: Entitas HTML adalah kode khusus yang mewakili karakter yang memiliki arti dalam markup HTML. Misalnya, < harus ditulis sebagai < di dalam HTML untuk mencegah browser memperlakukannya sebagai pembuka tag.
Kapan saya harus meng-encode input pengguna dengan HTML?: Selalu encode teks yang disediakan pengguna sebelum menyisipkannya ke HTML untuk mencegah serangan Cross-Site Scripting (XSS). Karakter apa pun yang dapat diinterpretasikan sebagai HTML — terutama <, >, &, dan " — harus di-escape.
Apa perbedaan antara HTML encoding dan URL encoding?: HTML encoding meng-escape karakter yang memiliki arti khusus di dalam dokumen HTML (misalnya & untuk &). URL encoding meng-escape karakter yang tidak valid atau ambigu di dalam URL (misalnya %26 untuk &). Keduanya adalah skema terpisah yang digunakan dalam konteks berbeda.
Apakah encoding HTML melindungi terhadap serangan XSS?: Encoding HTML adalah salah satu lapisan pencegahan XSS (Cross-Site Scripting), tetapi harus diterapkan dalam konteks yang tepat. Mengkodekan input pengguna sebagai entitas HTML (< > & ") mencegah tag yang disuntikkan ditafsirkan sebagai markup saat output ditempatkan di dalam konten elemen HTML. Namun, ini tidak cukup di semua konteks — parameter URL, string JavaScript, nilai CSS, dan atribut HTML masing-masing memerlukan escape yang sesuai konteks. Selalu kombinasikan encoding HTML dengan Content Security Policy dan validasi input sisi server.

Pemrosesan lokal

Alat file, teks, dan grafik lokal kami memproses konten di perangkat Anda menggunakan JavaScript, API browser, dan WebAssembly bila diperlukan. Peristiwa kami tidak menyertakan nama atau isi file, teks masukan, nilai grafik, kesalahan mentah, email, atau referensi lisensi. Alat jaringan (DNS, WHOIS, IP, dan uji kecepatan) menghubungi layanan eksternal untuk fungsinya. Memuat situs, font, pustaka, dan model juga membuat permintaan jaringan. WebAssembly sendiri tidak mencegah akses jaringan.