HTML entity là các mã đặc biệt đại diện cho các ký tự mà nếu không thì sẽ bị diễn giải là markup, hoặc khó gõ. Chúng bắt đầu bằng & và kết thúc bằng ;.
Bốn ký tự có ý nghĩa đặc biệt trong HTML và phải được viết dưới dạng entity khi bạn muốn chúng theo nghĩa đen:
< → < (nhỏ hơn — nếu không sẽ bắt đầu một tag)
> → > (lớn hơn)
& → & (dấu và — nếu không sẽ bắt đầu một entity)
" → " (bên trong giá trị attribute)
<!-- ❌ trình duyệt cố phân tích <div> như một tag -->
<p>Use the <div> element</p>
<!-- ✅ hiển thị văn bản theo nghĩa đen "Use the <div> element" -->
<p>Use the <div> element</p>
Đây cũng là nền tảng của bảo vệ XSS: khi bạn hiển thị văn bản do người dùng tạo, việc escape <, >, & ngăn trình duyệt thực thi các tag <script> được tiêm vào. Các framework (React, Vue) escape mặc định vì lý do này.
khoảng trắng không ngắt (giữ các từ liền nhau, không xuống dòng)
© © ® ® ™ ™
— — – – … …
× × ÷ ÷
© © theo mã thập phân © © theo mã hex
<meta charset="UTF-8" />
<p>© 2024 — café résumé 日本語</p> <!-- với UTF-8 bạn có thể gõ những thứ này trực tiếp -->
Với charset UTF-8 bạn có thể viết hầu hết các ký hiệu và ký tự có dấu theo nghĩa đen; entity khi đó chủ yếu cần cho các ký tự markup được dành riêng (<, >, &, ") và .
Entity cho phép bạn hiển thị các ký tự được dành riêng dưới dạng văn bản và là trung tâm của việc ngăn XSS khi render nội dung không đáng tin.
Với UTF-8 bạn hiếm khi cần chúng cho các ký hiệu, nhưng escape <, >, & đúng cách là thiết yếu bất cứ khi nào văn bản thô có thể bị nhầm là markup.