为什么需要进行HTML转义？
在编写网页或处理用户生成的内容时，某些字符在HTML中具有特殊的结构意义。例如，小于号（<）和大于号（>）用于定义HTML标签，和号（&）用于声明实体。如果你希望在页面上将它们作为普通文本显示，就必须将其转换为对应的HTML实体（如 < 和 >）。
如果不进行HTML转义，浏览器会错误地解析这些字符。这不仅会导致页面排版错乱、文本丢失，在处理用户输入时，更可能引发严重的跨站脚本（XSS）攻击。通过将特殊字符转义为实体，可以有效剥夺它们的执行权限，确保文本被安全地渲染。
纯前端处理的优势与安全性
我们的工具采用纯前端JavaScript技术构建，所有的字符串解析、正则匹配与替换操作均在你的浏览器本地执行。这意味着无论你粘贴多长的代码段或包含敏感信息的文本，数据都绝对不会被发送到任何远程服务器，从根本上保障了数据隐私与安全。
在进行实体解码时，工具能够智能识别并逆向转换这些实体字符。它不仅支持标准的命名实体和数字引用，还能有效处理多层嵌套的编码格式，帮助你快速还原在数据流转过程中被多次转义的乱码文本。
使用场景与局限性
需要特别注意的是，本工具专门针对HTML正文与常规属性（如 title 或 alt）上下文设计。如果你需要对插入到 <script> 标签中的JavaScript变量、CSS样式表或URL链接（如 href 属性）进行编码，请使用专门的JS转义或URL编码工具，因为它们遵循完全不同的安全规则，单纯的HTML转义并不足以防止这些场景下的注入攻击。
此外，工具依赖标准的实体映射字典进行转换。它无法自动检测或修复上游系统中已经损坏的、非标准的或拼写异常的实体错误，在处理来源不明的数据时需额外留心。
常见问题
哪些字符必须在HTML中进行转义？
在HTML中，必须转义的五个核心字符是：小于号（<）、大于号（>）、和号（&）、双引号（"）以及单引号（'）。如果不将它们转换为对应的HTML实体，浏览器可能会将其误认为HTML标签或属性边界，从而导致页面解析错误或安全漏洞。
为什么我的网页上会显示为 &amp; 而不是 &？
这通常是因为发生了“双重转义”。当文本中的 & 已经被转义为 & 后，如果系统再次对其进行转义，就会把 & 中的 & 变成 &，最终呈现为 &amp;。使用我们的解码功能可以逐层还原这些被重复编码的字符。
单纯的HTML转义足以防止所有XSS攻击吗？
不够。HTML转义只能防止在HTML正文或常规属性中的XSS注入。如果你将用户输入插入到JavaScript代码、CSS或URL（如href属性）中，还需要使用专门针对这些上下文的转义规则，否则依然存在被攻击的风险。
单引号的实体 ' 和 ' 有什么区别？
' 是单引号的数字字符引用，而 ' 是命名实体。虽然现代浏览器都能正确解析两者，但在早期的HTML4规范中，' 并不被正式支持（仅在XML/XHTML中有效）。因此，为了实现最佳的向后兼容性，通常推荐使用 ' 来转义单引号。
如何还原被多次转义的文本？
你可以将混乱的文本粘贴到本工具中，并多次点击“解码”按钮。工具会逐层解析文本中的HTML实体，直到将其完全还原为最初的普通字符。
发现问题或有改进建议？ 告诉我们