HTMLエンティティ変換 🔒 データがブラウザの外に出ることはありません。
HTML特殊文字のエスケープ、&から&への復元。
Ctrl+Sダウンロード
このツールについて
生のHTMLで危険な文字は5つ：&、<、>、"、'。ユーザーコンテンツでエスケープしないとマークアップが壊れ、最悪の場合XSSインジェクションの入口になります。エンコードすれば&のようなエンティティになり、マークアップとして実行されずテキストとして表示されます。
本ツールは双方向に即時変換し、レガシーシステム向けに非ASCII文字をすべて数値エンティティにするオプションも備えています。すべてブラウザ内で動作します。
よくある質問
名前付き・10進数・16進数の実体参照にはどんな違いがありますか？
これらは同じ文字参照を書く3つの方法です。&、&、& はすべて「&」を意味します。名前付き実体参照は最も読みやすいですが、決まった文字にしか存在しません。10進数と16進数はどの Unicode コードポイントにも使えます。
なぜ HTML で & や < のような文字をエスケープする必要があるのですか？
ブラウザの HTML パーサーは < と & を特別扱いするためです。エスケープしていない < は意図しないタグを開始してしまうことがあり、エスケープしていない & は壊れた実体参照を始めてしまうことがあります。エスケープすることで、ユーザー入力のテキストがマークアップとして誤解釈されるのを防ぎます。
HTML 実体参照をエンコードすれば XSS から守れますか？
必要な要素の一つですが、それだけでは不十分です。テキストがどこに使われるか（属性内、URL、script ブロックなど）によって必要なエスケープが変わります。このツールは構成要素の一つとして扱い、完全なサニタイザーとは考えないでください。
実体参照をデコードすると、入力内の実際の HTML タグは壊れますか？
いいえ。デコードは文字参照（&...;）だけを解決し、実際のタグには手を加えません。そのためマークアップの断片全体を貼り付けて、その中の実体参照だけをデコードしても安全です。
エンコードやデコードの際、テキストはどこかに送信されますか？
いいえ。すべてお使いのブラウザ内（クライアントサイド）で処理され、何もアップロードされません。