HTML Encoder / Decoder

Q: Which characters should be encoded?

In body content the four essential characters are (greater-than), & (ampersand), and " (double quote). In attribute values you should also escape the quote character that wraps the value (" or '). Encoding these prevents the browser from treating user text as live HTML markup.

Q: Does HTML encoding prevent XSS?

Yes, for content reflected into HTML text or attributes. Escaping , and " stops the browser from parsing attacker-supplied tags as real elements, so the payload renders as inert text instead of executing. This is context-dependent output encoding, which is the primary defense against reflected and stored XSS.

Q: Is my text uploaded anywhere?

No. Encoding and decoding run entirely in your browser through string replacement. Nothing is sent to a server, so the tool is safe for templates, source code, and sensitive content.

Convert special characters to HTML entities (<, &, etc.) and back.

Input Text

Result

Result will appear here.

📖 How to Use

Enter Text

Type or paste text containing HTML special characters.

Encode or Decode

Click 🔼 HTML Encode to convert <, >, & to entities, or 🔽 HTML Decode to revert them.

Copy Result

Click 📋 Copy to save the encoded/decoded HTML to your clipboard.

💡 Tip: HTML encoding is essential for preventing XSS attacks and safely displaying user input on web pages.

About the HTML Encoder / Decoder

HTML reserves a few characters for its own syntax — <, >, &, and the quote characters — so any that appear in your content must be written as character entity references rather than literally. The HTML Encoder does that translation in both directions: encoding replaces reserved characters with entities so the browser renders them as visible text, and decoding reverses entities back to the original characters. It is the standard primitive for safely embedding user-provided strings in an HTML document.

How it works

Entities come in two families. Named entities use a readable name wrapped in & and ;: < renders <, > renders >, & renders &, " renders ", and ' renders '. Numeric entities reference the Unicode code point directly — decimal < or hexadecimal < — and can express any code point. Both families decode to the same character.

Encoding matters because the parser is greedy: seeing <script> it tries to build an element, and seeing a bare & it starts looking for an entity name. Escaping those bytes forces the browser to treat them as text. That is also why encoding is the first line of defense against XSS (Cross-Site Scripting): if attacker-controlled input is reflected into HTML with <, >, and " escaped, a payload like <script>alert(1)</script> renders as inert text rather than executing. Decoding reverses the process by scanning for &name; / &#NN; / &#xHH; patterns and substituting the matching character, so the round-trip is lossless.

Common use cases

Safely displaying user comments or form input in an HTML page
Showing a code snippet with HTML tags without it being parsed
Preparing sample markup for a tutorial or docs page
Hardening a template against reflected and stored XSS
Decoding scraped text that arrives full of entities

Worked example

Take a snippet with a script tag and an ampersand:

<script>alert("a & b")</script>

After encoding it becomes entities that the browser will render as text instead of executing:

&lt;script&gt;alert(&quot;a &amp; b&quot;)&lt;/script&gt;

Decoding that output returns the original snippet exactly, because every entity maps back to one character.

Frequently asked questions

Which characters should be encoded?

In body content the four essential characters are < (less-than), > (greater-than), & (ampersand), and " (double quote). In attribute values you should also escape the quote character that wraps the value (" or '). Encoding these prevents the browser from treating user text as live HTML markup.

What is the difference between named and numeric entities?

A named entity uses a readable name such as < or &. A numeric entity references the Unicode code point directly, either in decimal (<) or in hexadecimal (<). They resolve to the same character; named entities are easier to read while numeric entities can represent any code point that has no name.

Does HTML encoding prevent XSS?

Yes, for content reflected into HTML text or attributes. Escaping <, >, and " stops the browser from parsing attacker-supplied <script> tags as real elements, so the payload renders as inert text instead of executing. This is context-dependent output encoding, which is the primary defense against reflected and stored XSS.

Why does my encoded text look the same after decoding?

Because decoding is the exact inverse of encoding. The decoder walks the string, finds entities such as < or <, and replaces each with the character it stands for, returning the original text. Encoding then escaping that text again yields the same entities, so round-tripping is lossless.

Is my text uploaded anywhere?

No. Encoding and decoding run entirely in your browser through string replacement. Nothing is sent to a server, so the tool is safe for templates, source code, and sensitive content.

HTML 인코더/디코더란?

HTML은 일부 문자를 자체 문법용으로 예약해 둡니다 — <, >, &, 따옴표 문자가 그것입니다. 그래서 콘텐츠 안에 이런 문자가 나오면 글자 그대로가 아니라 문자 엔터티 참조(character entity reference)로 써야 합니다. HTML 인코더는 이 변환을 양방향으로 수행합니다. 인코딩은 예약 문자를 엔터티로 바꾸어 브라우저가 이를 보이는 텍스트로 렌더링하게 만들고, 디코딩은 엔터티를 원래 문자로 되돌립니다. 사용자가 제공한 문자열을 HTML 문서에 안전하게 끼워 넣을 때 쓰는 표준 프리미티브입니다.

작동 방식

엔터티에는 두 가지 계열이 있습니다. 이름 엔터티(named entity)는 &와 ;로 감싼 읽기 쉬운 이름을 씁니다. <는 <, >는 >, &는 &, "는 ", '는 '로 렌더링됩니다. 숫자 엔터티(numeric entity)는 유니코드 코드 포인트를 직접 참조합니다 — 십진 < 또는 십육진 < — 이름이 없는 어떤 코드 포인트라도 표현할 수 있습니다. 두 계열 모두 같은 문자로 디코딩됩니다.

인코딩이 중요한 이유는 파서가 탐욕적이기 때문입니다. <script>를 보면 요소를 만들려 하고, 그냥 &를 보면 엔터티 이름을 찾기 시작합니다. 이 바이트들을 이스케이프하면 브라우저가 이를 텍스트로 취급하게 만듭니다. 그래서 인코딩이 XSS(크로스 사이트 스크립팅) 방어의 첫 번째 방패이기도 합니다. 공격자가 제어한 입력이 <, >, "를 이스케이프한 채 HTML로 출력되면, <script>alert(1)</script> 같은 페이로드는 실행되지 않고 무효한 텍스트로 렌더링됩니다. 디코딩은 역방향으로, &name; / &#NN; / &#xHH; 패턴을 스캔해 대응 문자로 치환하므로 왕복이 무손실입니다.

자주 쓰는 경우

사용자 댓글이나 폼 입력을 HTML 페이지에 안전하게 표시하기
HTML 태그를 포함한 코드 조각이 파싱되지 않고 보이게 출력하기
튜토리얼/문서 페이지용 샘플 마크업 준비
반사형/저장형 XSS에 대한 템플릿 방어 강화
엔터티 투성이로 수집/저장된 텍스트 디코딩

사용 예

script 태그와 앰퍼샌드가 포함된 조각을 예로 듭니다.

<script>alert("a & b")</script>

HTML 인코딩을 거치면 브라우저가 실행 대신 텍스트로 렌더링하는 엔터티 문자열이 됩니다.

&lt;script&gt;alert(&quot;a &amp; b&quot;)&lt;/script&gt;

이 출력을 디코딩하면 원래 조각이 그대로 돌아옵니다. 모든 엔터티가 한 문자에 매핑되므로 더해지거나 잃히는 것은 없습니다.

자주 묻는 질문

어떤 문자를 인코딩해야 하나요?

본문 콘텐츠에서 필수적인 네 문자는 <(보다 작음), >(보다 큼), &(앰퍼샌드), "(큰따옴표)입니다. 속성값에서는 값을 감싼 따옴표 문자(" 또는 ')도 이스케이프해야 합니다. 이 문자들을 인코딩하면 브라우저가 사용자 텍스트를 살아 있는 HTML 마크업으로 취급하지 않습니다.

이름 엔터티와 숫자 엔터티의 차이는?

이름 엔터티는 <, &처럼 읽기 쉬운 이름을 씁니다. 숫자 엔터티는 유니코드 코드 포인트를 직접 참조하며, 십진(<) 또는 십육진(<) 형식이 있습니다. 둘은 같은 문자로 해석됩니다. 이름 엔터티가 읽기 편하고, 숫자 엔터티는 이름이 없는 모든 코드 포인트를 표현할 수 있습니다.

HTML 인코딩이 XSS를 막나요?

네, HTML 텍스트나 속성으로 출력되는 콘텐츠에 한해서 그렇습니다. <, >, "를 이스케이프하면 브라우저가 공격자가 넣은 <script> 태그를 실제 요소로 파싱하지 못하므로, 페이로드가 실행되는 대신 무효한 텍스트로 렌더링됩니다. 이것이 문맥에 따른 출력 이스케이프이며, 반사형/저장형 XSS에 대한 1차 방어 수단입니다.

인코딩한 텍스트를 디코딩하면 왜 같아 보이나요?

디코딩이 인코딩의 정확한 역이기 때문입니다. 디코더는 문자열을 훑으며 <나 < 같은 엔터티를 찾아 각각이 가리키는 문자로 치환해 원래 텍스트를 돌려줍니다. 이 텍스트를 다시 인코딩하면 같은 엔터티가 나오므로 왕복이 무손실입니다.

제 텍스트가 외부로 전송되나요?

아닙니다. 인코딩과 디코딩은 전적으로 브라우저 안에서 문자열 치환으로 이루어집니다. 서버로 전송되는 것은 없으므로 템플릿, 소스 코드, 민감한 내용에도 안전합니다.