适合处理什么
网页中显示代码片段、处理用户输入避免 XSS、富文本中的特殊字符存储、HTML 邮件模板中的内容转义。适合前端开发者和内容编辑日常使用。
HTML转义工具
免费在线HTML转义工具，HTML特殊字符与HTML实体编码互转，网页开发、防XSS攻击必备。
✏️ 输入内容
📤 结果
关于HTML 转义工具使用详解
使用场景、操作建议、结果边界与常见问题
HTML 转义工具在原始文本和 HTML 实体之间互相转换。HTML 中有几个字符具有特殊含义：< 表示标签开始，> 表示标签结束，& 表示实体开始，引号在属性值中也有特殊用途。当这些字符作为普通文本出现在 HTML 中时，如果不转义，浏览器会错误解析，轻则显示异常，重则产生 XSS 安全漏洞。
最常见的使用场景：在网页中显示代码片段（如 <script> 标签必须转义为 <script>）、在 HTML 中嵌入含有特殊字符的用户输入、在富文本编辑器中存储和展示原始 HTML。很多 XSS 漏洞的根源就是忘记对用户输入做 HTML 转义——这个问题在每年 OWASP Top 10 中一直名列前茅。
与 URL 编码不同：HTML 转义是为了在 HTML 文档中安全展示内容，URL 编码是为了在 URL 参数中安全传输内容。两者解决的问题不同，编码结果也完全不同。
想了解这一类工具的选择方法，可以继续阅读相关使用指南。指南页会说明同类工具的适用边界、常见误区和推荐组合。
输出结果怎么看
转义后 < 变成 <，> 变成 >，& 变成 &。反向转义（解转义）把实体还原为原始字符。如果转义前后看起来一样，可能是实体在浏览器中已被解析——检查源码而非页面预览。
隐私与边界
转义在浏览器端完成。内容不会上传服务器。但如果输入的是用户真实数据，建议在本地处理或脱敏后再使用在线工具。
HTML 转义和 URL 编码的区别？
HTML 转义解决的是在 HTML 文档中安全显示特殊字符的问题（如 < 转义为 <）。URL 编码解决的是在 URL 参数中安全传输字符的问题（如空格编码为 %20）。两者是完全不同的编码方案，虽然都是为了让特殊字符安全传递，但服务于不同的上下文。
为什么 HTML 转义对 XSS 防护很重要？
XSS（跨站脚本攻击）通常通过在网页中注入恶意脚本实现。如果用户输入中的 <script> 标签被直接渲染到 HTML 中，浏览器会执行其中的代码。HTML 转义将 < 和 > 转为无害的实体，让浏览器把它们当作文本显示而非代码执行。但注意：只做 HTML 转义不足以防住所有 XSS——在 JavaScript 上下文中还需要 JavaScript 转义。
什么时候该转义，什么时候不该？
当用户输入会出现在 HTML 内容中时（如评论、用户名、文章正文），必须转义。当内容存储在数据库且只通过 API 返回 JSON 时（不是直接嵌入 HTML），不需要 HTML 转义——而是在前端渲染时做。不同上下文需要不同的转义策略：HTML 上下文用 HTML 转义，JavaScript 上下文用 JS 转义，URL 上下文用 URL 编码。