マークアップ例に貼り付ける前にテキストをHTMLエンコード

エンコードせずにドキュメントに`<script>`を表示すると、デモがXSSデモになります。`< > & " '` をエスケープ（ポリシーはページに記載）。

文字数: 26

入力

出力

使用タイミング

ブログスニペット、メールHTML、またはマークアップが実行されないようにエンティティを教える際。

入力

<div class="x">A & B</div>

出力

&lt;div class=&quot;x&quot;&gt;A &amp; B&lt;/div&gt;

入力

<b>

出力

&lt;b&gt;

エンティティマップ（&, <, >, 引用符など）に従って置換。すべてのコンテキストでXSSに対する完全なサニタイザではありません。

HTMLエンティティはマークアップ用、JSONエスケープはJSON文字列用、URLエンコードはクエリ/パス用。

これでアプリのXSSは防げますか？

エンコードはHTMLテキストコンテキストで有効ですが、アプリにはコンテキストに応じたエンコードフレームワークが必要。

すべてのUnicodeをエンコード？

数値エンティティは任意。デフォルトは一般的なXML/HTMLセット。

逆は？

HTMLデコード。

JSONエスケープとの違い？

言語とターゲットが異なる。