什麼是 HTML 實體

超文本標記語言或 HTML 是 Internet 上網頁的主要語言。它包括對許多其他語言的支持，這些語言添加了額外的功能和样式，例如 JavaScript 和 CSS。所有這些語言都是基於文本的，使用一些有意義的字符來分隔應該打印到瀏覽器的文字字符串和應該解釋和執行的代碼。

但是，這種設計存在一些問題，當您想將一個有意義的字符打印到瀏覽器時，這些問題就變得很明顯了。最好使用的示例字符是“小於”和“大於”符號。這些符號分別用於打開和關閉 HTML 中的代碼段。將這些字符安全地打印到屏幕上的正確方法是使用 HTML 實體。

HTML 實體和安全性

由於這些字符具有特殊含義，如果您希望將它們打印到瀏覽器，您必須非常小心以確保將它們替換為 HTML 實體版本。不幸的是，許多 Web 開發人員忘記了用戶可以向許多網站提交輸入。如果此用戶輸入包含有意義的字符並且它們沒有被 HTML 實體替換，則在稱為清理的過程中，則該網站存在跨站點腳本 (XSS) 漏洞。

提示：不要嘗試向網站提交特殊字符以尋找 XSS 漏洞。除非您獲得網站所有者的許可，否則這樣做在技術上屬於黑客行為，並且屬於刑事犯罪。

HTML 實體如何工作（有時不工作）

HTML 實體之所以起作用，是因為瀏覽器知道將其顯示為相關的特殊字符而不是將其視為特殊字符。所有 HTML 實體都以與號“&”開頭，以分號“;”結尾。大多數字符由實體編號標識，儘管一些特殊字符也有速記名稱。例如，“&”、“<”和“>”分別具有實體編號“&”、“<”和“>”以及實體名稱“&”、“<”和“>”。瀏覽器知道這些字符串意味著它需要顯示相關字符。

提示：可以在此處找到完整的字符實體名稱列表，儘管實體名稱支持因瀏覽器而異。

在大多數情況下，用戶應該只看到 HTML 實體代表的字符。但是，可以通過稱為“雙重編碼”的過程查看編碼字符，通常是與符號“&”。這種情況發生在 & 字符以其自己的編碼版本出現時。當輸入被正確編碼時，通常會發生雙重編碼，因為它被提交，但是，當它被輸出時，它會再次被清理。這導致“&”開頭的＆符號再次被編碼並顯示為“&”，然後瀏覽器正確地將其解釋為應該打印為“&”的字符串已解碼HTML實體並被忽略部分實體。