& < > " ' . Extended ayrıca tüm ASCII dışı karakterleri kodlar. Adlandırılmış varlıklar arasında seçim yapın (&), ondalık (& ) veya onaltılık (&).Nasıl çalışır
HTML varlıkları, biçimlemede özel anlamı olan (< > & " ') veya ASCII olmayan karakterleri <, & veya © gibi dizilerle temsil eder. Böylece tarayıcı bunları kod olarak yorumlamak yerine metin olarak gösterir.
Üç eşdeğer biçim vardır: adlı (©), ondalık (©) ve onaltılık (©). Üçü de aynı karakteri üretir; adlı olan daha okunabilirdir ama yalnızca bilinen bir küme için vardır.
"Temel" kapsam yalnızca HTML'i bozan karakterleri çıkışlar (& < > " '); "tümü" kapsamı ayrıca ASCII olmayan her karakteri de çıkışlar.
Örnekler
<a href="#"><a href="#">Çıkışlama, tarayıcının etiketleri yorumlamasını engeller ve onları metin olarak gösterir.5 < 10 & 3 > 15 < 10 & 3 > 1© 2024 · €© 2024 · €"Tümü" kapsamı ve adlı biçimle. Ondalıkta © ve € olurlar; onaltılıkta © ve €.Kullanım senaryoları
- HTML kodunu bir sayfada, işlenmeden metin olarak göstermek (örnekler, belgeler).
- XSS'i önlemek için kullanıcı girdisini HTML'e eklemeden önce çıkışlamak.
- Özel simgeleri (©, €, →, ½) kodlamalar arasında taşınabilir biçimde eklemek.
- Bir sayfanın kaynak kodundan kopyalanan, varlıklar içeren metnin kodunu çözmek.
Sık sorulan sorular
Hangi biçim en iyisidir: adlı, ondalık mı yoksa onaltılık mı?
Adlı olan (©) en okunabilir olanıdır ama yalnızca tanımlı adı olan karakterleri kapsar. Ondalık (©) ve onaltılık (©) her Unicode karakteri için çalışır, bu yüzden az rastlanan simgeler için güvenli seçenektir.
Varlıkları kodlamak XSS saldırılarını önler mi?
Önemli bir parçadır ama çıkışlama bağlama göre yapılmalıdır (HTML içeriği, öznitelik, JavaScript veya URL). Tek bir katmana güvenmeyin: çerçevenin korumalarını da kullanın.
Hangi karakterler her zaman çıkışlanmalı?
İçerikte & < ve >, ayrıca öznitelik değerlerinin içinde " ve '. "Temel" kapsam tam olarak bu kümeyi kapsar.
Metnim bir sunucuya gönderiliyor mu?
Hayır. Kodlama ve kod çözme tamamen tarayıcınızda yapılır.