HTML 实体是一段以连字号（&）开头、以分号（;）结尾的字符串，用以显示不可见字符及保留字符 (如 HTML 标签)。
在 whatwg 中可查看实体编码数据。
在前端，一般为了避免 XSS 攻击，会将 <> 编码为 < 与 >，此时仅仅只需要对六个字符进行编码: &, <, >, ", ', ```。
HTML 实体编码可使用 Unicode 的 codePoint 或者命名字符引用(Named character references)。
如 <
lt，则实体编码为 <'<'.codePointAt() 可知其 unicode 的 codePoint 为 60，则实体编码也可表示为 < 或者十六进制表示为 <在左侧输入框中输入原始文本，右侧将实时输出对应的 HTML 实体编码结果。例如输入 <div>，将得到 <div>。
将已编码的实体字符串粘贴到输入框中，工具会自动将其还原为可读文本。支持命名实体（如 &）和数字实体（如 <）两种格式。
以下字符在 HTML 中具有特殊含义，需要进行实体编码：
| 字符 | 实体编码 | 说明 |
|---|---|---|
< | < | 标签起始符 |
> | > | 标签结束符 |
& | & | 实体引用前缀 |
" | " | 属性值引号 |
' | ' | 属性值单引号 |
在将用户输入渲染到页面之前，务必先进行实体编码。这样可以防止恶意脚本被浏览器执行。
例如，用户输入 <script>alert('xss')</script>，经过编码后变为纯文本展示，浏览器不会将其当作可执行代码。
典型场景：
在 Javascript 中，可借助于 he 进行转化
he.encode('<div>hello</div>', { useNamedReferences: true })
he.decode(string)
HTML 实体编码用于在 HTML 文档中安全地表示特殊字符，例如将 < 编码为 <，确保浏览器不会将其解析为 HTML 标签。URL 编码（也称百分号编码）则用于在 URL 中传递特殊字符，例如将空格编码为 %20。两者的应用场景完全不同：HTML 实体编码作用于页面内容的渲染层面，而 URL 编码作用于网络传输层面。在实际开发中，需要根据数据所处的上下文选择正确的编码方式。
HTML 中有一些字符具有特殊含义，比如 <、>、& 和 " 等，如果直接在页面中使用这些字符，浏览器会将其识别为 HTML 标签或属性的一部分，导致页面渲染异常甚至引发安全问题。通过实体编码，可以将这些特殊字符转换为浏览器能正确显示的安全形式。此外，实体编码还能用于插入键盘上不易输入的字符，如版权符号 ©（©）、商标符号 ™（™）等。
命名实体使用易于记忆的名称表示字符，例如 & 表示 &，< 表示 <，可读性较好。数字实体则使用字符的 Unicode 码位来表示，分为十进制（如 &）和十六进制（如 &）两种形式。命名实体并非所有字符都有对应的名称，HTML 规范中只定义了有限数量的命名实体；而数字实体理论上可以表示任意 Unicode 字符。在浏览器兼容性方面，数字实体的支持范围通常更广。
不需要。只有在 HTML 中具有特殊含义的字符才必须进行编码，主要包括 <、>、&、" 和 ' 这五个字符。普通的字母、数字和大部分标点符号可以直接在 HTML 中使用，无需编码。对于中文、日文等非 ASCII 字符，只要页面声明了正确的字符编码（如 UTF-8），也无需进行实体编码。不过，在某些特殊场景下（如在 HTML 属性值中嵌入内容），可能需要对更多字符进行编码以确保安全。
HTML 实体编码是防御 XSS（跨站脚本）攻击的重要手段之一，但不能单独依赖它来实现完全防护。对用户输入的内容进行实体编码，可以防止攻击者注入恶意的 HTML 标签和 JavaScript 代码。然而，XSS 防护是一个系统性工程，还需要结合内容安全策略（CSP）、输入验证、输出编码的上下文匹配等多种措施。例如，在 JavaScript 字符串、URL 属性、CSS 样式等不同上下文中，需要使用对应的编码方式，仅靠 HTML 实体编码并不足够。
所属工具主题
编码、哈希与字符集工具