HTML entitete so posebne kode, ki predstavljajo znake, ki bi se sicer razlagali kot oznaka (markup) ali ki so težko tipljivi. Začnejo se z & in končajo z ;.
Štirje znaki imajo v HTML posebno pomen in morajo biti napisani kot entitete, ko jih nameravamo doslovno:
< → < (less-than — otherwise starts a tag)
> → > (greater-than)
& → & (ampersand — otherwise starts an entity)
" → " (inside attribute values)
<!-- ❌ the browser tries to parse <div> as a tag -->
<p>Use the <div> element</p>
<!-- ✅ shows the literal text "Use the <div> element" -->
<p>Use the <div> element</p>
To je tudi temelj XSS zaščite: ko prikazuješ besedilo, ki ga je ustvaril uporabnik, escapanje <, >, & preprečuje brskalniku, da bi izvršil injicirane <script> oznake. Ogrodja (React, Vue) privzeto escapajo iz tega razloga.
non-breaking space (keeps words together, no line break)
© © ® ® ™ ™
— — – – … …
× × ÷ ÷
© © by decimal code © © by hex code
<meta charset="UTF-8" />
<p>© 2024 — café résumé 日本語</p> <!-- with UTF-8 you can type these directly -->
Z UTF-8 charset-om lahko večino simbolov in poudarjenih znakov napišeš dobesedno; entitete so nato potrebne predvsem za rezervirane znake markupa (<, >, &, ") in .
Entitete ti omogočajo prikaz rezerviranih znakov kot besedilo in so ključne za preprečevanje XSS pri prikazovanju nezaupljivih vsebin.
Z UTF-8 jih za simbole redko potrebuješ, vendar je pravilno escapanje <, >, & bistveno vsakič, ko bi bila surova besedila napačno razlagana kot markup.