Comment utiliser cet outil Cette page exécute une seule opération fixe. Utilisez l’espace lié pour les autres opérations.
Entrée: Texte. Échapper le texte HTML.
Les champs sont vides au départ. Charger l’exemple ne les remplit que si vous le choisissez. Réinitialiser efface les entrées et les résultats actuels.
Fonctionnement Ces opérations transforment le texte sans l’exécuter. Adaptez la sortie au contexte exact. Échapper HTML/XML n’assainit pas un document ; citer un champ CSV ne neutralise pas les formules ; les littéraux SQL ne remplacent pas les requêtes paramétrées.
Base64 utilise du texte standard complété, sans espaces, et ne décode que du UTF-8 valide. Le mode URL encode un composant, pas une URL entière ; le décodage conserve + comme +, pas comme espace.
HTML traite cinq caractères de balisage et décode une fois les références terminées par un point-virgule. XML accepte uniquement les références prédéfinies et numériques XML 1.0 valides, sans DTD, entités personnalisées ni réseau. JSON utilise une chaîne complète entre guillemets doubles et rejette les substituts isolés. Cela ne sécurise pas du contenu arbitraire dans un élément script HTML.
JavaScript accepte une chaîne en mode strict, sans modèles, octal ancien ni expressions. Java accepte les chaînes ordinaires et échappements standard/octaux, mais rejette les échappements Unicode du code source : utilisez du texte Unicode réel. C# ordinaire accepte les échappements standard, x, u, U ; verbatim utilise @"..." et des guillemets doublés. Sans interpolation, chaînes brutes, blocs de texte ni exécution.
CSV traite un champ, pas une ligne ou un fichier, et conserve les sauts de ligne. SQL double les apostrophes et conserve les antislashs : PostgreSQL exige standard_conforming_strings=on (sans chaînes E-, U&- ni dollar) ; SQLite accepte les littéraux texte ; SQL Server utilise des littéraux Unicode préfixés N. Ni identifiants, ni instructions, ni protection contre l’injection SQL.
Portée et limites Maximum : 100000 unités UTF-16 en entrée, 100000 octets UTF-8 importés, 1000000 unités en sortie. Un délai de 5000 ms annule le worker selon l’ordonnancement du navigateur. Les entrées mal formées sont rejetées ; ce sont des sous-ensembles textuels, pas des compilateurs.
L’échappement dépend du contexte. Utilisez les paramètres du pilote pour SQL et un encodeur adapté à chaque insertion. Le brouillon local est facultatif et en texte brut ; Réinitialiser ne le supprime pas.
Les champs sont vides au départ. Charger l’exemple ne les remplit que si vous le choisissez. Réinitialiser efface les entrées et les résultats actuels.
Encodage et échappement de texte
Activez JavaScript pour utiliser cet outil. Les exemples et les limites restent lisibles. 