HTML-entiteter er spesielle koder som representerer tegn som ellers ville blitt tolket som kode, eller som er vanskelige å skrive. De starter med & og slutter med ;.
Fire tegn har spesiell betydning i HTML og må skrives som entiteter når du mener dem bokstavelig:
< → < (less-than — otherwise starts a tag)
> → > (greater-than)
& → & (ampersand — otherwise starts an entity)
" → " (inside attribute values)
<!-- ❌ the browser tries to parse <div> as a tag -->
<p>Use the <div> element</p>
<!-- ✅ shows the literal text "Use the <div> element" -->
<p>Use the <div> element</p>
Dette er også grunnlaget for XSS-beskyttelse: når du viser brukeregenerert tekst, forhindrer escape av <, >, & nettleseren fra å utføre injiserte <script>-koder. Frameworks (React, Vue) escape som standard av denne grunnen.
non-breaking space (keeps words together, no line break)
© © ® ® ™ ™
— — – – … …
× × ÷ ÷
© © by decimal code © © by hex code
<meta charset="UTF-8" />
<p>© 2024 — café résumé 日本語</p> <!-- with UTF-8 you can type these directly -->
Med UTF-8-tegnsett kan du skrive de fleste symboler og aksentuerte tegn bokstavelig; entiteter er da hovedsakelig nødvendig for de reserverte kodetaggnene (<, >, &, ") og .
Entiteter lar deg vise reserverte tegn som tekst og er sentrale for å forhindre XSS når du rendrer upålitelig innhold.
Med UTF-8 trenger du sjelden entiteter for symboler, men å escape <, >, & korrekt er essensielt når raw tekst kan forveksles med kode.