HTMLに挿入する前にテキストをエスケープし、表示崩れやXSSを防ぎます。
クリックでコピーします。
HTMLエンティティは予約文字や特殊文字を表すコードで、例えば < は <、& は & と書きます。ユーザー入力をHTMLとして表示する前にエンコードすることで、マークアップを正しく保ち、クロスサイトスクリプティング（XSS）を防げます。
エンコードとデコードはブラウザ内で行われます。内容がサーバーに送信されることはありません。
特殊文字を HTML エンティティに変換するなら Encode、< や © などのエンティティを文字に戻すなら Decode を選びます。
エンコードではモードを選びます。Basic は & < > " ' のみをエスケープし、Named は é のような名前付きエンティティ、Decimal と Hex は ASCII 以外のすべての文字を数値参照に変換します。
テキストや HTML を貼り付けると、結果がすぐに更新されます。
出力をコピーするか、「結果を入力に使う」で処理を続けます。参照表の項目をクリックすると、よく使うエンティティをコピーできます。
ブログやドキュメントで <div class="box"> を文字として表示するには <div class="box"> にエンコードし、ブラウザにタグと解釈させないようにします。
ユーザーが入力したテキストを HTML に挿入する前にエスケープすれば、レイアウト崩れやクロスサイトスクリプティング（XSS）を防げます。Basic モードで重要な5文字をカバーできます。
ページや RSS に &amp; や &quot; が表示されたら、1〜2回デコードしてどこで過剰にエスケープされたかを突き止めます。
一部のメールテンプレートや古い CMS、XML フィードは ASCII しか受け付けません。Decimal や Hex モードなら é や日本語を é のような参照に変換し、どんな文字コードでも崩れません。
テキスト内容では & と < が必須です。属性値の中では、値を囲む引用符（" または '）もエスケープします。> もエスケープするのは一般的で無害な習慣です。
どちらも同じように表示されます。© のような名前付きは読みやすく、© のような数値参照は名前のない文字を含むすべての Unicode 文字に使えます。
タグの間や引用符で囲んだ属性内のテキストには正しい対策です。<script>、style、イベントハンドラー、URL 内のテキストには文脈に応じた別のエスケープが必要で、最近のフレームワークはこれを自動で処理します。
ページが UTF-8 で配信されていれば不要で、現在はそれが標準です。エンティティが必要なのは ASCII に制限されたシステムだけです。
