Codificador / Decodificador de Entidades HTML

Los cinco caracteres que rompen el HTML

Un analizador de HTML lee < como el inicio de una etiqueta y & como el inicio de una referencia de entidad. Si tu contenido contiene alguno, el analizador deja de tratarlo como texto. Escapar sustituye el carácter por una referencia que el analizador resuelve al glifo original sin darle nunca significado estructural.

Solo cinco caracteres necesitan escaparse de verdad en HTML:

• & pasa a & — debe ir primero, o escaparás dos veces todo lo demás
• < pasa a <
• > pasa a >
• " pasa a " — necesario dentro de valores de atributo con comillas dobles
• ' pasa a ' — necesario dentro de valores con comillas simples

En el texto de un elemento solo hacen falta & y <. Los otros tres importan en cuanto el texto pueda acabar dentro de un atributo, y como rara vez lo controlas en el momento de escapar, escapar los cinco es el hábito seguro.

Referencias con nombre, decimales y hexadecimales

El mismo carácter se puede escribir de tres formas. Un espacio de no separación es  ,   o  . Las referencias con nombre son las más legibles, pero la lista de HTML5 tiene unas 2.200 entradas y los analizadores antiguos conocen muchas menos, así que los nombres poco frecuentes son un riesgo de portabilidad. Las numéricas funcionan con cualquier punto de código Unicode y siempre son seguras. En HTML5 toda referencia con nombre exige el punto y coma final; unos pocos nombres heredados como &amp aún se analizan sin él por compatibilidad, pero confiar en eso es un error esperando a suceder.

Escapar no es sanear

Escapar es lo que detiene el cross-site scripting: si una entrada de usuario con <script> se escapa a <script>, el navegador muestra el texto literal y no ejecuta nada. Pero escapar solo funciona en el contexto correcto. El escapado HTML no basta dentro de un bloque <script>, dentro de un atributo style o en una URL: cada uno tiene sus propias reglas. Y debe aplicarse una sola vez, al generar la salida. Escapar en la entrada y otra vez en la salida produce < y basura visible.

Cuándo necesitas el modo extendido

Ninguna especificación moderna exige escapar los caracteres no ASCII. Un documento UTF-8 puede contener é y 中 directamente, y suele ser la mejor opción: es más corto, más legible y más fácil de buscar. El modo extendido existe para cuando el flujo de bytes debe sobrevivir a un canal que destroza lo no ASCII: plantillas de correo heredadas, campos de CMS antiguos, tuberías XML con codificación declarada dudosa o un paso de compilación atascado en Latin-1. Si controlas la codificación de extremo a extremo, quédate en modo mínimo.

La trampa del espacio de no separación

  es U+00A0, un carácter distinto del espacio normal U+0020. Impide el salto de línea y evita que el navegador colapse secuencias de espacios, por eso los editores WYSIWYG lo emiten sin medida. Como se ve idéntico, rompe en silencio comparaciones de cadenas, expresiones regulares escritas con \s en algunos motores e importaciones CSV. Si un valor parece correcto pero no coincide, busca un espacio de no separación colado.