📑 Índice do Conteúdo
Por Que Escapar Códigos HTML e Proteger Contra XSS?
Ao construir blogs, fóruns, painéis administrativos e documentações técnicas onde é necessário exibir trechos de código-fonte para os usuários, você nunca deve imprimir tags HTML como <div> ou <script> diretamente na página sem antes realizar o HTML Escape (codificação de entidades).
Se as tags não forem escapadas, o navegador interpretará o código como marcação executável, abrindo brechas para ataques de Cross-Site Scripting (XSS), onde invasores podem injetar scripts maliciosos para capturar cookies de sessão e credenciais de usuários.
Mapeamento dos 5 Caracteres Essenciais do XML/HTML
| Caractere Original | Entidade Nomeada | Entidade Decimal | Finalidade |
|---|---|---|---|
& (E comercial) |
& |
& |
Evita ambiguidade no início de entidades |
< (Menor que) |
< |
< |
Impede a abertura de tags HTML |
> (Maior que) |
> |
> |
Impede o fechamento de tags HTML |
" (Aspas duplas) |
" |
" |
Evita quebras de atributos de tags HTML |
' (Apóstrofo / Aspas simples) |
' ou ' |
' |
Evita quebras em atributos JavaScript/HTML |
Perguntas Frequentes (FAQ)
Qual é a diferença entre entidades nomeadas e numéricas?
Entidades nomeadas (como é para é) são fáceis de ler para humanos, mas podem não ser suportadas em ambientes XML estritos sem o DTD do HTML. Já as entidades numéricas decimais (é) ou hexadecimais (é) são universalmente suportadas em qualquer parser XML, SVG e HTML.
O que a opção “Strip Tags” faz?
A opção Strip Tags elimina todas as tags de marcação (como <p>, <b>, <div>), preservando apenas o conteúdo textual puro antes de efetuar a codificação dos caracteres especiais.
