HTML怎么做HTML实体编解码_HTML实体字符编码解码工具【方法】-html教程-PHP中文网

python标准库html.escape()和html.unescape()分别用于html编码与解码：escape()默认转义、&及引号（quote=true），unescape()支持命名、十进制、十六进制实体，但不校验合法性且无属性值解析模式。

html怎么做html实体编解码_html实体字符编码解码工具【方法】

直接用标准库函数，别自己写正则或拼接逻辑——容易漏字符、不兼容、还埋XSS风险。

Python 标准库的 html 模块已覆盖绝大多数场景，无需额外安装第三方包。

html.escape 默认转义 、<code>>、&，加 quote=True（默认）还会转 " 和 '；若只处理标签上下文（比如生成 HTML 属性值），可设 quote=False 避免单引号被转成 '（部分旧浏览器不识别）
html.unescape 能安全识别命名实体（如 ©）、十进制（©）、十六进制（©），但不会校验实体是否合法——比如 &xyz; 会被原样保留，不报错
注意：它不处理 Unicode 编码错误（如 \ud800），遇到无效 surrogate pair 会抛 UnicodeEncodeError，需在外层 try/catch

浏览器原生没有 encodeHTML / decodeHTML 函数，用 DOM 模拟虽可行，但有隐藏坑：

html-ppt-to-pdf

将使用 `

` 约定的 HTML 幻灯片转换为高保真、矢量文本 PDF（使用 Playwright + Chromium 原生 PDF 功能）。

下载

document.createElement('div').textContent = str; div.innerHTML 在某些 IE 版本下对处理异常，可能截断字符串
不支持 useNamedReferences 或 isAttributeValue 这类细粒度控制，比如属性值中要不要把 " 编成 "，DOM 方法无法指定
he.encode(str, { useNamedReferences: true }) 可输出 而非 <code>，更利于调试和阅读；<code>he.decode(str, { strict: true }) 遇到 &bad; 直接 throw，避免静默失败

HTML 属性值中的实体解析规则和普通文本不同——比如 value="a&b" 解析后是 a&b，但（空格）在属性里会被规范为普通空格，而不在属性里则可能被 HTML 解析器合并。

用 he.decode(input, { isAttributeValue: true }) 才能模拟真实浏览器对 <input value="..."> 的解析行为
Python 的 html.unescape 没这个开关，它统一按“数据状态”解码，所以从 input.value 读出的字符串若含实体，必须用 JS 端解码，或提前在服务端约定不往属性值里塞未解码实体
常见翻车点：把用户昵称 O'Reilly 存进数据库，前端用 innerHTML 渲染 <span>{{name}}</span> 没问题，但填进 <input value="{{name}}"> 就会显示 O'Reilly 而非 O'Reilly —— 因为属性值自动解码了一次

PHP 的 htmlspecialchars 默认只转 、<code>>、&、"、'，而 Python 的 html.escape 行为一致，但名字相似的 urllib.parse.quote 是干另一件事的。

URL 参数里的 q=hello+world 是 application/x-www-form-urlencoded 编码，不是 HTML 实体；误用 html.unescape 解 q=hello%20world 会原样返回，毫无效果
he.encode 的 encodeEverything: true 会把所有 ASCII 控制符（如 \x00-\x1f）也转成 ~，这在日志脱敏或 XML 场景有用，但普通网页渲染没必要，反而增大体积
真正要防 XSS 的地方，编码只是第一道防线；输入验证、CSP、Content-Security-Policy header 才是关键，光靠转义挡不住 javascript:alert(1) 这类事件处理器注入