HTML字符串转义
转义和反转义HTML字符串中的特殊字符，防止XSS攻击
关于HTML字符串转义
HTML字符串转义是将HTML特殊字符转换为实体引用的过程。这对于防止XSS（跨站脚本）攻击、安全地显示用户输入以及确保HTML文档的有效性至关重要。
当需要在HTML中嵌入包含特殊字符的内容时，必须对这些字符进行转义，否则浏览器会将其解释为HTML标签或属性，导致显示错误或安全漏洞。
为什么需要转义？
- 防止XSS跨站脚本攻击
- 安全地显示用户输入的内容
- 在HTML中嵌入包含特殊字符的文本
- 确保HTML文档的有效性
- 在JavaScript中安全地处理HTML字符串
HTML转义规则
| 原始字符 | 命名实体 | 数字实体 | 十六进制实体 | 说明 |
|---|---|---|---|---|
| < | < | < | < | 小于号 |
| > | > | > | > | 大于号 |
| & | & | & | & | 和号 |
| " | " | " | " | 双引号 |
| ' | ' | ' | ' | 单引号 |
| |   |   | 不换行空格 |
常见使用场景
用户输入显示
在网页上安全地显示用户提交的评论、留言等内容，防止恶意脚本注入。
动态内容生成
在JavaScript中动态生成HTML内容时，确保特殊字符被正确转义。
模板渲染
在模板引擎中渲染数据时，自动转义特殊字符以保证安全。
API数据展示
将从API获取的数据安全地显示在HTML页面中。
XSS攻击防护
XSS（Cross-Site Scripting）攻击是最常见的Web安全漏洞之一。攻击者通过在网页中注入恶意脚本，可以窃取用户信息、劫持会话等。正确的HTML转义是防止XSS攻击的第一道防线。
使用技巧
- 在显示用户输入时，始终进行HTML转义
- 使用框架提供的自动转义功能（如Vue的v-text、React的默认行为）
- 只有在确实需要渲染HTML时才使用v-html或dangerouslySetInnerHTML
- 对URL参数、表单输入、Cookie等所有用户可控的数据进行转义
- 使用内容安全策略（CSP）作为额外的安全层
实体类型说明
命名实体：命名实体使用易记的名称，如 < 表示小于号
数字实体：数字实体使用十进制Unicode码点，如 < 表示小于号
十六进制实体：十六进制实体使用十六进制Unicode码点，如 < 表示小于号