HTML-сущности

Q: Экранирование ломает поиск по странице?

Нет: браузер показывает сущность как обычный символ, и поиск ищет по показанному тексту. Сущности видны только в исходном коде — там действительно неудобно искать, и это второй довод не экранировать то, что экранировать не требуется.

АвторOleh Soloninобновлено 25 сентября 2026 г.

Режим

Текст

Результат

Результат
<div class="card">Привет & пока</div>
Длина63

Пять символов, которые ломают разметку

Заменяет угловые скобки, амперсанды и кавычки на HTML-сущности или выполняет обратное преобразование.

В HTML есть несколько зарезервированных символов, и оставленный в тексте знак «меньше» превращает остаток страницы в сломанный тег.

Экранирование — ещё и базовая защита от XSS. Любой пользовательский текст, попадающий в страницу, обязан быть экранирован, иначе присланный тег скрипта станет исполняемым.

Как пользоваться

Вставьте текст или готовый фрагмент HTML и выберите режим — экранировать или раскодировать.
Экранируйте всё, что попадает в страницу из внешнего источника: комментарии, поля форм, данные из базы.
Сверьте длину: каждая замена добавляет длину сущности минус один знак — & прибавляет четыре символа, < — три.

Пять символов, из-за которых всё

В HTML собственное значение имеют пять символов: амперсанд открывает любую сущность, угловые скобки ограничивают элементы, а две кавычки закрывают значения атрибутов. Если их не заменить, пользовательский текст может выйти за пределы атрибута и принести на страницу собственную разметку — это классический путь к межсайтовому скриптингу.

Порядок замены не безразличен. Амперсанд идёт первым, иначе второй проход испортит только что созданные сущности: из < получилось бы &lt;. При обратном преобразовании порядок ровно противоположный.

Все замены выполняет калькулятор этой страницы. Для одинарной кавычки в HTML 4 не было имени, поэтому используется числовая форма: ' появился только в HTML 5, и старые цепочки обработки его не понимают.
Символ	Сущность	Зачем заменяется
&	&	открывает любую сущность
<	<	открывает элемент
>	>	закрывает элемент
"	"	ограничивает значение атрибута
'	'	ограничивает атрибут в одинарных кавычках

Что происходит с кириллицей

Ничего — и это правильно. У русских букв в HTML нет особого значения, при указанной кодировке UTF-8 браузер показывает их напрямую, а сущности только удлинили бы код и сделали его непригодным для поиска.

Пример по умолчанию это и показывает: из 37 символов получается 63, и весь прирост приходится на замены четырёх видов символов, а «Привет» и «пока» остаются как были.

Все строки получены калькулятором этой страницы. Последняя — проверка в обратную сторону: заменён только амперсанд, кириллица не тронута.
Исходный текст	После экранирования
5 < 6 & 7 > 6	5 < 6 & 7 > 6
"кавычки"	"кавычки"
O'Brien	O'Brien
Привет & пока	Привет & пока

Что показывает калькулятор

Текст с зарезервированными символами, заменёнными на сущности
Обратное преобразование сущностей в обычные символы
Длину результата, которая при экранировании заметно растёт

Что важно учитывать

Экранируются пять значимых символов: & < > " и апостроф.
При раскодировании обрабатываются именованные сущности и числовые ссылки вида «.

Частые вопросы

Какие символы обязательно экранировать?

Пять: & < > " и одинарную кавычку. Для текста между элементами и для значений атрибутов в кавычках этого достаточно.

Защищает ли экранирование от XSS?

Для обычного текста между тегами и для текстовых атрибутов в кавычках — да. Но не для любого атрибута: в href и src ещё нужно проверять адрес и разрешённые протоколы, потому что href="javascript:…" опасен и с кавычками, а в обработчики событий вроде onclick непроверенные данные вставлять нельзя. Внутри JavaScript, в атрибуте style и в атрибуте без кавычек действуют свои правила, и таблица сущностей там не помогает.

Чем " отличается от "?

Ничем по смыслу: первая форма именованная, вторая числовая. Числовая обходится без списка имён и работает там, где известны только имена из HTML 4.

Нужно ли экранировать кириллицу?

Нет. При charset=utf-8 любой браузер понимает русские буквы напрямую. Сущности нужны только тогда, когда какое-то звено в цепочке не передаёт кодировку надёжно — например, старый шаблон письма.

Почему амперсанд заменяется первым?

Потому что с него начинается любая сущность. Если сначала заменить знак «меньше» на <, а потом амперсанд на &, получится &lt; — и страница покажет текст «<» вместо знака «меньше». При раскодировании калькулятор поэтому меняет порядок на обратный.

Экранирование ломает поиск по странице?

Нет: браузер показывает сущность как обычный символ, и поиск ищет по показанному тексту. Сущности видны только в исходном коде — там действительно неудобно искать, и это второй довод не экранировать то, что экранировать не требуется.

Мини-пример расчёта

Кусок разметки как текст

Входные данные: <div class="card">Привет & пока</div>

Результат: <div class="card">Привет & пока</div>

Комментарий: В таком виде браузер покажет саму разметку, а не выполнит её — именно это нужно для примера кода.

Полезные переходы

Все инструменты раздела Инструменты разработчика

HTML-сущности

Результат

Связанные инструменты

URL кодировщик/декодер

Base64 кодировщик/декодер

Markdown в HTML

Форматировать и проверить JSON

Полезные переходы