HTML-Entity-Encoder / -Decoder — HTML escapen und unescapen

Escape Text für HTML mit benannten oder numerischen Entities, dekodiere Referenzen im Stil von & zurück in Zeichen und durchsuche eine Entity-Referenztabelle.

KodierenAls

Zu kodierender Text oder HTML

Kodiert

&lt;p class=&quot;note&quot;&gt;Fish &amp; chips — £4.50 at Café &quot;Ōshima&quot; 🐟&lt;/p&gt;

Referenz der HTML-Entities

Nach Name, Zeichen, Code oder Gruppe suchen

Zeichen	Benannt	Dezimal	Hex
"	"	"	"
&	&	&	&
'	'	'	'
<	<	<	<
>	>	>	>
·
¡	¡	¡	¡
¢	¢	¢	¢
£	£	£	£
¤	¤	¤	¤
¥	¥	¥	¥
¦	¦	¦	¦
§	§	§	§
¨	¨	¨	¨
©	©	©	©
ª	ª	ª	ª
«	«	«	«
¬	¬	¬	¬
·
®	®	®	®
¯	¯	¯	¯
°	°	°	°
±	±	±	±
²	²	²	²
³	³	³	³
´	´	´	´
µ	µ	µ	µ
¶	¶	¶	¶
·	·	·	·
¸	¸	¸	¸
¹	¹	¹	¹
º	º	º	º
»	»	»	»
¼	¼	¼	¼
½	½	½	½
¾	¾	¾	¾
¿	¿	¿	¿
À	À	À	À
Á	Á	Á	Á
Â	Â	Â	Â
Ã	Ã	Ã	Ã
Ä	Ä	Ä	Ä
Å	Å	Å	Å
Æ	Æ	Æ	Æ
Ç	Ç	Ç	Ç
È	È	È	È
É	É	É	É
Ê	Ê	Ê	Ê
Ë	Ë	Ë	Ë
Ì	Ì	Ì	Ì
Í	Í	Í	Í
Î	Î	Î	Î
Ï	Ï	Ï	Ï
Ð	Ð	Ð	Ð
Ñ	Ñ	Ñ	Ñ
Ò	Ò	Ò	Ò
Ó	Ó	Ó	Ó
Ô	Ô	Ô	Ô
Õ	Õ	Õ	Õ
Ö	Ö	Ö	Ö
×	×	×	×
Ø	Ø	Ø	Ø
Ù	Ù	Ù	Ù
Ú	Ú	Ú	Ú
Û	Û	Û	Û
Ü	Ü	Ü	Ü
Ý	Ý	Ý	Ý
Þ	Þ	Þ	Þ
ß	ß	ß	ß
à	à	à	à
á	á	á	á
â	â	â	â
ã	ã	ã	ã
ä	ä	ä	ä
å	å	å	å
æ	æ	æ	æ
ç	ç	ç	ç
è	è	è	è
é	é	é	é
ê	ê	ê	ê
ë	ë	ë	ë
ì	ì	ì	ì
í	í	í	í
î	î	î	î
ï	ï	ï	ï
ð	ð	ð	ð
ñ	ñ	ñ	ñ
ò	ò	ò	ò
ó	ó	ó	ó
ô	ô	ô	ô
õ	õ	õ	õ
ö	ö	ö	ö
÷	÷	÷	÷
ø	ø	ø	ø
ù	ù	ù	ù
ú	ú	ú	ú
û	û	û	û
ü	ü	ü	ü
ý	ý	ý	ý
þ	þ	þ	þ
ÿ	ÿ	ÿ	ÿ
Α	Α	Α	Α
Β	Β	Β	Β
Γ	Γ	Γ	Γ
Δ	Δ	Δ	Δ
Ε	Ε	Ε	Ε
Ζ	Ζ	Ζ	Ζ
Η	Η	Η	Η
Θ	Θ	Θ	Θ
Ι	Ι	Ι	Ι
Κ	Κ	Κ	Κ
Λ	Λ	Λ	Λ
Μ	Μ	Μ	Μ
Ν	Ν	Ν	Ν
Ξ	Ξ	Ξ	Ξ
Ο	Ο	Ο	Ο
Π	Π	Π	Π
Ρ	Ρ	Ρ	Ρ
Σ	Σ	Σ	Σ
Τ	Τ	Τ	Τ
Υ	Υ	Υ	Υ
Φ	Φ	Φ	Φ
Χ	Χ	Χ	Χ
Ψ	Ψ	Ψ	Ψ
Ω	Ω	Ω	Ω
α	α	α	α
β	β	β	β
γ	γ	γ	γ
δ	δ	δ	δ
ε	ε	ε	ε
ζ	ζ	ζ	ζ
η	η	η	η
θ	θ	θ	θ
ι	ι	ι	ι
κ	κ	κ	κ
λ	λ	λ	λ
μ	μ	μ	μ
ν	ν	ν	ν
ξ	ξ	ξ	ξ
ο	ο	ο	ο
π	π	π	π
ρ	ρ	ρ	ρ
ς	&sigmaf;	ς	ς
σ	σ	σ	σ
τ	τ	τ	τ
υ	υ	υ	υ
φ	φ	φ	φ
χ	χ	χ	χ
ψ	ψ	ψ	ψ
ω	ω	ω	ω
Œ	&OElig;	Œ	Œ
œ	&oelig;	œ	œ
Š	&Scaron;	Š	Š
š	&scaron;	š	š
Ÿ	&Yuml;	Ÿ	Ÿ
ƒ	&fnof;	ƒ	ƒ
ˆ	&circ;	ˆ	ˆ
˜	&tilde;	˜	˜
ϑ	&thetasym;	ϑ	ϑ
ϒ	&upsih;	ϒ	ϒ
ϖ	ϖ	ϖ	ϖ
·	&ensp;
·	&emsp;
·
·	&zwnj;	‌	‌
·	&zwj;	‍	‍
·	&lrm;	‎	‎
·	&rlm;	‏	‏
–	–	–	–
—	—	—	—
‘	‘	‘	‘
’	’	’	’
‚	&sbquo;	‚	‚
“	“	“	“
”	”	”	”
„	&bdquo;	„	„
†	&dagger;	†	†
‡	&Dagger;	‡	‡
•	•	•	•
…	…	…	…
‰	&permil;	‰	‰
′	′	′	′
″	″	″	″
‹	&lsaquo;	‹	‹
›	&rsaquo;	›	›
‾	&oline;	‾	‾
⁄	&frasl;	⁄	⁄
€	€	€	€
ℑ	&image;	ℑ	ℑ
℘	&weierp;	℘	℘
ℜ	&real;	ℜ	ℜ
™	™	™	™
ℵ	&alefsym;	ℵ	ℵ
←	←	←	←
↑	↑	↑	↑
→	→	→	→
↓	↓	↓	↓
↔	↔	↔	↔
↵	&crarr;	↵	↵
⇐	⇐	⇐	⇐
⇑	&uArr;	⇑	⇑
⇒	⇒	⇒	⇒
⇓	&dArr;	⇓	⇓
⇔	⇔	⇔	⇔
∀	∀	∀	∀
∂	∂	∂	∂
∃	∃	∃	∃
∅	∅	∅	∅
∇	∇	∇	∇
∈	∈	∈	∈
∉	∉	∉	∉
∋	&ni;	∋	∋
∏	∏	∏	∏
∑	∑	∑	∑
−	−	−	−
∗	&lowast;	∗	∗
√	√	√	√
∝	&prop;	∝	∝
∞	∞	∞	∞
∠	&ang;	∠	∠
∧	&and;	∧	∧
∨	&or;	∨	∨
∩	∩	∩	∩
∪	∪	∪	∪
∫	∫	∫	∫
∴	&there4;	∴	∴
∼	&sim;	∼	∼
≅	&cong;	≅	≅
≈	≈	≈	≈
≠	≠	≠	≠
≡	&equiv;	≡	≡
≤	≤	≤	≤
≥	≥	≥	≥
⊂	⊂	⊂	⊂
⊃	⊃	⊃	⊃
⊄	&nsub;	⊄	⊄
⊆	&sube;	⊆	⊆
⊇	&supe;	⊇	⊇
⊕	&oplus;	⊕	⊕
⊗	&otimes;	⊗	⊗
⊥	&perp;	⊥	⊥
⋅	⋅	⋅	⋅
⌈	&lceil;	⌈	⌈
⌉	&rceil;	⌉	⌉
⌊	&lfloor;	⌊	⌊
⌋	&rfloor;	⌋	⌋
⟨	&lang;	⟨	⟨
⟩	&rang;	⟩	⟩
◊	&loz;	◊	◊
♠	&spades;	♠	♠
♣	&clubs;	♣	♣
♥	&hearts;	♥	♥
♦	&diams;	♦	♦

253 von 253 Entities. Unsichtbare Zeichen (Leerzeichen, Joiner, weiches Trennzeichen) werden als · angezeigt.

Läuft komplett in deinem Browser. Nichts, was du eingibst, wird an uns gesendet oder gespeichert. Alle kostenlosen Tools ansehen.

Ein Problem gefunden oder etwas, das besser sein könnte? Wir lesen jede Nachricht und beheben Fehler schnell.

Dieser HTML-Entity-Encoder und -Decoder wandelt Zeichen in HTML-Zeichenreferenzen um und zurück. Beim Kodieren werden die fünf Zeichen mit besonderer Bedeutung im Markup (< > & " ') zu < > & " und ', sodass Text auf einer Seite angezeigt oder in ein Attribut gesetzt werden kann, ohne als HTML gelesen zu werden. Du kannst auch jedes Nicht-ASCII-Zeichen kodieren, was hilft, wenn ein Template, eine E-Mail oder ein Altsystem UTF-8 verstümmelt.

Das Dekodieren verarbeitet benannte Entities wie é und …, dezimale Referenzen wie é und hexadezimale wie é nach den Regeln des HTML5-Parsers selbst, einschließlich seiner Eigenheiten bei ungültigen Codepoints. Namen außerhalb der integrierten Tabelle mit 253 Einträgen schlägt der HTML-Parser deines Browsers nach, sodass alle über 2.000 Namen von HTML5 dekodiert werden. Unbekannte Namen bleiben unverändert und werden aufgelistet, statt stillschweigend zu verschwinden. Dieses Tool wandelt Text um; es ist kein HTML-Sanitizer.

So funktioniert’s

Wähle Kodieren oder Dekodieren.
Wähle beim Kodieren den Umfang: nur die fünf unsicheren Zeichen (reicht für normales HTML), alle Nicht-ASCII-Zeichen oder alles außer Buchstaben, Ziffern und Leerzeichen.
Wähle benannte, dezimale oder hexadezimale Referenzen. Der benannte Modus weicht bei Zeichen ohne Namen auf dezimal aus.
Tippe oder füge ein; die Ausgabe aktualisiert sich beim Tippen. Tauschen schickt die Ausgabe zurück in die Eingabe, um einen Hin-und-zurück-Test zu machen.
Durchsuche die Referenztabelle nach Name, Zeichen, Dezimalcode oder Gruppe (zum Beispiel „arrow“ oder „greek“) und kopiere eine Entity.

Häufige Fragen

Welche Zeichen müssen in HTML escapt werden?

Im Textinhalt müssen < und & escapt werden, weil sie Tags und Entities einleiten. In einem Attributwert escapest du zusätzlich das Anführungszeichen, das das Attribut begrenzt: " als " oder ' als '. > als > zu escapen ist nicht zwingend nötig, aber üblich und unschädlich. Alles andere, auch Buchstaben mit Akzent und Emojis, kann in einer UTF-8-Seite unverändert stehen.

Was ist der Unterschied zwischen   und einem normalen Leerzeichen?

  ist U+00A0, ein geschütztes Leerzeichen. Browser brechen an ihm keine Zeile um und fassen mehrere davon nicht zu einem zusammen, anders als bei gewöhnlichen Leerzeichen. Es ist nützlich, um „10 kg“ oder „Dr. Müller“ auf einer Zeile zusammenzuhalten. Reihenweise   fürs Layout zu verwenden ist ein Zeichen, dass die Aufgabe eigentlich in CSS gehört.

Soll ich ' oder ' verwenden?

' ist in XML und HTML5 definiert, aber nicht in HTML 4, sodass sehr alte Browser und manche E-Mail-Programme es nicht erkennen. ' funktioniert überall – deshalb verwendet dieser Encoder es auch im benannten Modus für den Apostroph. In einer modernen HTML5-Seite geht beides.

Reicht HTML-Kodierung aus, um XSS zu verhindern?

Das Escapen von < > & " ' verhindert Injektionen in HTML-Text und Attributwerte in Anführungszeichen, was den häufigsten Fall abdeckt. Es macht einen Wert aber nicht sicher in einem <script>-Block, einem style-Attribut, einem Attribut ohne Anführungszeichen oder einer URL wie href="javascript:...". Jeder dieser Kontexte braucht eine eigene Kodierung oder Validierung. Nutze eine Template-Engine, die standardmäßig escapt, und einen Sanitizer wie DOMPurify, wenn du HTML von Nutzern annehmen musst.

Warum sehe ich &amp; oder Ã© in meinem Text?

&amp; bedeutet, dass der Text zweimal HTML-kodiert wurde: & wurde zu &, und dann wurde dieses & erneut kodiert. Dekodiere einmal pro zusätzlicher Ebene. Ã© statt é ist dagegen kein Entity-Problem, sondern ein falsch zugeordneter Zeichensatz: UTF-8-Bytes wurden als Windows-1252 oder Latin-1 gelesen. Korrigiere die Zeichensatzangabe oder die Kodierung der Datenbankverbindung; Entities verdecken nur das Symptom.

Benannte, dezimale und hexadezimale Referenzen

HTML bietet drei Arten, dasselbe Zeichen zu schreiben. Eine benannte Referenz wie © ist lesbar, existiert aber nur für die Zeichen, für die HTML Namen definiert. Eine dezimale Referenz wie © und eine hexadezimale wie © funktionieren für jeden Unicode-Codepoint, auch für Emojis: 🌲 ist 🌲 oder 🌲 – eine Referenz für das ganze Zeichen, nicht zwei für seine UTF-16-Hälften.

Die 253 Namen in der Tabelle dieses Tools sind der HTML-4-Satz plus '. Sie werden von jedem Browser, E-Mail-Programm und jeder HTML-Bibliothek unterstützt. HTML5 hat etwa 2.000 weitere hinzugefügt, überwiegend mathematische Symbole (&NotEqualTilde;, &bigotimes;), die in modernen Browsern dekodiert werden, aber besser als reines UTF-8 oder numerische Referenzen geschrieben werden, wenn ältere Tools den Inhalt verarbeiten.

Namen unterscheiden Groß- und Kleinschreibung: É ist É und é ist é. Einige wenige, etwa &COPY; und &AMP;, gibt es aus historischen Gründen auch in Großbuchstaben, die kleingeschriebenen Formen sind aber die üblichen.

Wann kodieren und wann nicht

• Nutzereingaben auf einer Seite anzeigen: die fünf unsicheren Zeichen bei der Ausgabe im Template escapen, nicht beim Speichern in der Datenbank.

• Codebeispiele in einem Blogartikel oder einer Dokumentation: < und & escapen, damit Tags als Text erscheinen.

• E-Mail-Templates und Altsysteme mit unzuverlässigem UTF-8: Alle Nicht-ASCII-Zeichen in numerische Referenzen zu kodieren, lässt den Inhalt jeden Zeichensatz überstehen.

• Moderne UTF-8-Seiten: Buchstaben mit Akzent, typografische Anführungszeichen oder Emojis nicht kodieren. Normale Zeichen sind kleiner, durchsuchbar und leichter zu bearbeiten.

• JSON, URLs und JavaScript-Strings: HTML-Entities bedeuten dort nichts. Verwende jeweils JSON-Escaping, Prozentkodierung oder JavaScript-String-Escapes.

Wie numerische Referenzen dekodiert werden

Die HTML5-Spezifikation legt fest, was ein Parser mit merkwürdigen numerischen Referenzen tun muss, und dieser Decoder folgt ihr. , Referenzen auf Surrogat-Codepoints (&#xD800;) und Werte über U+10FFFF werden zum Ersatzzeichen U+FFFD. Referenzen im Bereich  bis  werden als Windows-1252 gelesen,  ist also ein Halbgeviertstrich und  das Eurozeichen – denn das meinten alte Seiten, als sie sie schrieben.

Benannte Referenzen werden nur dekodiert, wenn sie mit einem Semikolon enden. Browser akzeptieren im Text zwar auch einige alte Namen ohne Semikolon, etwa &copy oder &amp, aber dieses Verhalten hängt davon ab, was folgt; Inhalte sollten daher immer das Semikolon enthalten.