1 基础概念
1.1 HTML 编码的定义
HTML 编码是指在 HTML 文档中，将具有特殊语法意义的字符转换为对应的转义形式或实体表示，以便文本能够被浏览器按“内容”而非“标签”来解析。它常用于把原本可能干扰页面结构的字符安全地显示出来。
1.2 HTML 编码的作用
HTML 编码的核心作用，是避免浏览器将普通文本误识别为标记语言的一部分。通过编码，开发者可以稳定展示包含尖括号、与号、引号等字符的内容，减少页面错乱、标签闭合异常或属性截断等问题。
1.3 HTML 编码与 HTML 实体的关系
HTML 编码通常会借助 HTML 实体来实现。HTML 实体既包括命名实体，也包括数值字符引用，它们都可用于表示某个字符的转义结果。实际语境中，“HTML 编码”有时会被宽泛地用来指代这些实体写法的整体使用方式。
1.4 HTML 编码与 URL 编码的区别
HTML 编码与 URL 编码是两种不同的机制。前者面向 HTML 解析，主要解决网页内容中的字符显示与语法冲突；后者面向地址传输，主要处理 URL 中的保留字符和参数传递。两者的应用场景、字符集规则和转换结果都不相同，不能直接互相替代。
2 常见字符转义规则
2.1 特殊符号的编码方式
在 HTML 中，某些字符一旦直接出现，可能被解释为结构符号，因此通常需要转义。最常见的就是小于号、大于号、与号、引号和撇号，它们在文本节点和属性值中的处理尤为重要。
2.1.1 小于号与大于号
小于号 < 常被视为标签开始符号，大于号 > 则常用于结束标签结构。为了将它们作为普通文本显示，通常分别写作 < 和 >。
2.1.2 与号
与号 & 是实体引用的起始标记，如果直接出现在文本中，可能引发解析歧义。因此通常编码为 &，以明确表示这是普通字符而不是实体开头。
2.1.3 引号与撇号
在属性值中，双引号 " 和单引号 ' 都可能影响属性边界。常见写法分别是 " 和 '，其中双引号的转义更为常用，尤其在以双引号包裹属性值时。
2.2 空格与不可见字符
空格和部分不可见字符在排版与语义上都可能产生特殊效果。有些字符用于控制连续空白的显示方式，有些则用于保持内容间距或避免断行。
2.2.1 普通空格
普通空格通常可以直接使用，但在某些场景下会被浏览器折叠为单个空白。若需要保留特定格式，开发者可能会借助实体或其他排版手段辅助呈现。
2.2.2 不换行空格
不换行空格常写作 ，用于在两个词之间保留间距并阻止自动换行。它常见于排版控制、按钮文案、表格对齐和需要保持视觉结构的场景。
2.3 其他常用标点符号
除核心保留字符外，一些标点也可能通过实体表示，以保证在不同环境中的一致显示。例如版权符号、注册商标符号、箭头或带重音字符，常在国际化内容或特殊排版中使用。
3 编码表示方法
3.1 命名实体
命名实体是以名称表示字符的编码方式，形式直观，便于阅读和维护。它们通常以 & 开头、以 ; 结尾，中间是字符名称。
3.1.1 常见命名实体示例
常见示例包括 <、>、&、" 和 。这些写法在网页开发中最为常见，既便于理解，也能在多数环境中稳定解析。
3.1.2 命名实体的兼容性
命名实体的兼容性总体较好，但并非所有命名都在所有历史环境中完全一致。现代 HTML 浏览器对常用实体支持稳定，而较少见或过时的实体在不同解析器中的表现可能略有差异。
3.2 数值字符引用
数值字符引用通过字符的编码点来表示内容，不依赖具体名称。它适用于需要精确表示字符、处理罕见符号或进行跨系统文本传递的情况。
3.2.1 十进制表示
十进制数值字符引用以 &# 开头，后接十进制数值并以分号结束，例如表示某个字符的 Unicode 编码点。其优点是规则明确，便于与字符编码表对应。
3.2.2 十六进制表示
十六进制表示通常以 &#x 开头，后接十六进制数值并以分号结束。相较十进制形式，它在处理 Unicode 编码点时更便于阅读和计算，尤其适合需要直接查看代码点的场景。
3.3 Unicode 字符表示
HTML 编码与 Unicode 关系密切，因为现代网页字符处理通常以 Unicode 为基础。数值字符引用本质上常映射到 Unicode 编码点，因此可用于表示大量语言文字、符号与表情字符，提高文本表达范围。
4 使用场景
4.1 网页文本输出
在网页正文中输出用户输入、数据库内容或动态文本时，编码可以避免特殊字符破坏页面结构。它是内容展示中最基本的防护与格式保证措施之一。
4.2 属性值编码
当文本被放入 HTML 属性时，尤其需要注意引号、空格和与号等字符。若不进行合适转义，属性值可能提前结束，导致属性解析错误或后续内容被误读。
4.3 表单内容处理
表单提交后的结果回显，常需要对原始内容进行编码后再展示，以防输入内容被当作标记处理。无论是姓名、地址还是备注字段，只要可能包含特殊符号，都应谨慎处理。
4.4 模板引擎与后端渲染
模板引擎和后端渲染系统通常会默认提供自动转义机制，用于减少开发者手工处理的负担。合理使用自动编码，有助于统一输出规则并降低因遗漏而产生的显示问题。
4.5 富文本与内容编辑器
富文本编辑器输出的内容通常同时包含文本与 HTML 结构，因此编码策略更复杂。需要区分哪些内容应作为可执行标记保留，哪些应作为普通文字转义，以避免格式丢失或结构混乱。
5 编码与安全
5.1 防止 HTML 注入
HTML 编码能够降低 HTML 注入风险，即攻击者试图把输入内容伪装成页面标记。通过对关键字符进行转义，可以阻止恶意片段直接进入页面结构。
5.2 误用编码导致的渲染问题
编码使用不当也可能引发显示异常，例如重复转义后出现字面实体、漏转义导致标签错乱，或者在不需要编码的上下文中过度处理，造成内容阅读困难。
5.3 编码与 XSS 防护的关系
HTML 编码是 XSS 防护中的基础环节之一，但并不是唯一手段。它主要作用于输出层，适合防止文本在 HTML 语境中被解释为脚本相关内容；在复杂场景中，还需要结合上下文判断、内容过滤和安全策略共同使用。
5.4 输出前转义与输入校验的配合
较稳妥的做法通常是输入时进行基础校验，输出时按具体上下文进行转义。输入校验有助于减少明显异常数据，而输出转义则确保最终呈现符合 HTML 解析规则，两者配合更为可靠。
6 兼容性与规范
6.1 HTML5 规范中的相关规定
HTML5 对字符引用、实体和解析行为有较明确的规范定义。现代浏览器一般按照统一的 HTML 解析规则处理编码内容，使常见实体和数值引用具有较高一致性。
6.2 浏览器解析差异
尽管现代浏览器整体兼容性较好，但在某些边界情况下仍可能出现解析差异，例如不完整实体、缺少分号的写法或历史遗留内容。开发时应尽量采用标准格式，以减少环境差别带来的问题。
6.3 编码在旧版网页中的表现
旧版网页常见于早期标准或历史系统中，可能存在字符集混用、实体支持不全或编码规则不统一等情况。现代浏览器虽然通常能兼容大部分内容，但在迁移和维护时仍需谨慎核对。
6.4 不同字符集环境下的注意事项
在不同字符集环境下，字符显示依赖于页面声明、文件保存格式与浏览器解释方式的一致性。如果字符集声明与实际内容不匹配，可能出现乱码、问号或替换符，因此统一编码体系很重要。
7 常见误区
7.1 把编码与加密混淆
HTML 编码只是把字符改写成另一种可解析形式，并不具备保密功能。它不会隐藏信息，也无法像加密那样阻止他人读取内容。
7.2 重复编码与乱码问题
同一段内容如果被重复编码，浏览器可能显示出实体本身而不是原字符，形成“看起来像乱码”的效果。此类问题常出现在多层处理链路中，尤其是输出前后都进行了转义的场景。
7.3 只编码部分字符的风险
如果只对部分敏感字符进行处理，而遗漏了其他在特定上下文中同样重要的符号，就可能留下解析漏洞。例如在属性值、脚本片段或模板拼接场景中，单纯照搬文本节点的编码规则并不总是足够。
7.4 实体名称与字面文本混用
有些内容看上去像实体，但实际上只是普通文本；也有些开发者会误把实体写法当成最终显示结果。若不区分输入、存储和输出阶段，容易出现显示不一致或内容被错误解释的问题。
8 实践与工具
8.1 手动编码方法
手动编码通常依靠对常见保留字符的记忆，按规则将其替换为对应实体。对于少量文本，这种方式直观可行；但在大批量内容处理中，手工操作效率较低，也更容易出错。
8.2 编程语言中的转义函数
多数编程语言和框架都提供了转义函数或模板过滤器，用于自动完成 HTML 编码。开发者应根据上下文选择合适的函数，并注意其默认规则是否适用于属性、文本或富文本输出。
8.3 在线编码与解码工具
在线工具可以快速查看某段文本的编码结果，适合调试与学习。使用时应注意内容隐私，避免将敏感信息提交到不可信的平台。
8.4 编码检查与调试技巧
调试时可通过查看页面源代码、检查 DOM 输出或对照实体展开结果来定位问题。若发现显示异常，应优先确认是否存在重复编码、漏转义、字符集声明不一致或模板自动转义冲突等情况。