Que sont les entités HTML ?
Les entités HTML sont des chaînes spéciales commençant par & et finissant par ;. Elles représentent des caractères réservés en HTML (comme < > & et guillemets) ou des caractères spéciaux. Par exemple, < représente le signe inférieur. La spécification définit des entités nommées (©) et numériques (©) pour des centaines de caractères Unicode.
Pourquoi l'encodage est important
L'encodage est essentiel pour deux raisons. D'abord, il empêche le navigateur d'interpréter le contenu comme du balisage. Ensuite, il défend contre les attaques XSS où des scripts malveillants sont injectés via les entrées utilisateur. En encodant < > et guillemets, vous neutralisez les vecteurs d'attaque.
Entités nommées vs numériques
Les nommées utilisent des codes lisibles comme &. Les numériques utilisent des points de code Unicode décimaux (<) ou hexadécimaux (<). Les nommées sont plus lisibles mais limitées. Les numériques représentent tout caractère Unicode.
Bonnes pratiques
Toujours encoder les cinq caractères critiques dans le contenu utilisateur. Utilisez les fonctions d'échappement de votre framework. En HTML5 avec UTF-8, seuls & < > " et ' sont strictement nécessaires.
