كيفية استخدام مرمّز كيانات HTML
- الصق النص الذي سيُدرج في HTML.
- أبقِ خيار علامات الاقتباس مفعّلاً لقيم السمات.
- اختر نمط الكيانات الذي يتوقعه الهدف.
- انسخ الناتج المُهرَّب.
مزايا مرمّز كيانات HTML
- يهرّب الأحرف & < > " ' لمنع XSS في محتوى العناصر والسمات
- أنماط الكيانات المسمّاة (©) أو العشرية (©) أو السداسية العشرية (©)
- ترميز اختياري لجميع الأحرف غير ASCII، أو لكل حرف
- يرجع الوضع المسمّى إلى المراجع الرقمية للأحرف التي ليس لها اسم
- ناتج فوري مع عدد الكيانات
مثال على مرمّز كيانات HTML
تأمين مدخلات المستخدم
الإدخال:
<script>alert("Tom & Jerry")</script>النتيجة:
<script>alert("Tom & Jerry")</script>الأسئلة الشائعة حول مرمّز كيانات HTML
ما الأحرف التي يجب تهريبها لمنع XSS؟
على الأقل & و< و> — وداخل قيم السمات — علامتا الاقتباس " و'. ترمّز الأداة الأحرف الخمسة كلها افتراضياً، بما يطابق دالة htmlspecialchars في PHP مع الخيار ENT_QUOTES.
كيانات مسمّاة أم عشرية أم سداسية عشرية؟
تُعرض الأنماط الثلاثة بالشكل نفسه في المتصفحات. الكيانات المسمّاة (©) سهلة القراءة؛ أما الرقمية (© أو ©) فتعمل في XML/XHTML أيضاً، حيث لا تُضمن سوى الأسماء الخمسة المعرّفة مسبقاً. ويرجع الوضع المسمّى إلى الصيغة الرقمية للأحرف التي ليس لها اسم.
متى ينبغي ترميز الأحرف غير ASCII؟
فقط عندما يُحتمل تقديم المستند دون مجموعة أحرف UTF-8، أو عندما يمرّ عبر أنظمة تُتلف Unicode. يمكن لصفحات UTF-8 الحديثة أن تحتوي على النص العربي والرموز التعبيرية والحروف ذات العلامات الصوتية مباشرةً.
هل يكفي تهريب HTML لتأمين مدخلات المستخدم؟
يجعل النص آمناً داخل محتوى العناصر والسمات المحاطة بعلامات اقتباس. أما القيم الموضوعة داخل عناوين URL أو JavaScript أو CSS فتحتاج إضافةً إلى ذلك إلى ترميز خاص بسياقها.
ملاحظات تقنية
يستبدل الترميز الأحرف بمراجع أحرف كما يعرّفها معيار HTML Living Standard. تُكتب أحرف التحكم في النطاق U+0080–U+009F رقمياً دائماً لأنها لا تملك شكلاً قابلاً للطباعة. ويغطي جدول الأسماء المدمج نحو 250 كياناً من الكيانات الشائعة الاستخدام؛ وما عداها يُخرج كمرجع رقمي تفهمه جميع المتصفحات.