四种模式
覆盖 HTML 实体、JS 字符串、URL 组件和 XML 文档的常见场景。
INPUT · 原始文本0 字符
OUTPUT · 处理结果0 字符
HTML 模式：转义 & < > " 和单引号
什么是在线字符转义工具
字符转义是把有特殊含义的符号替换成另一种安全写法，避免它们被浏览器、JavaScript 引擎或 URL 解析器当成语法。这个工具提供 HTML、JavaScript、URL、XML 四种最常用的模式，输入后即可实时看到转义或反转义的结果。
例如把 <script> 放进 HTML 页面时，需要写成 <script> 才会作为文字显示；把一段带引号的文本放进 JavaScript 字符串时，引号和反斜杠需要加反斜杠；URL 参数里的空格和中文则需要转换成百分号编码。选错模式会让结果无法正常使用，因此页面会在输入框下方提示当前模式的规则。
双向转换
既能转义，也能把已转义的文本还原，支持命名字体与数字实体。
实时预览
开启自动转换后，输入或切换模式都会立即刷新结果。
本地处理
文本只在当前浏览器中处理，不会上传到任何服务器。
使用方法
- 在顶部选择 HTML、JavaScript、URL 或 XML 模式。
- 把文本粘贴到左侧输入框，右侧会按当前方向显示结果。
- 需要还原时点击「反转义」；点击「交换」可以把结果放回输入框并切换方向。
- 确认无误后点击「复制结果」，粘贴到代码或文档中。
常用转义对照
| 模式 | 原始字符 | 转义结果 | 说明 |
|---|---|---|---|
| HTML | & | & | 实体起始符，必须最先处理 |
| HTML | < > | < > | 避免被解析成标签 |
| HTML | " | " | 属性值中常用 |
| XML | ' | ' | XML 的单引号实体 |
| JavaScript | \ | \\ | 反斜杠本身需要转义 |
| JavaScript | 换行 | \n | 字符串中不能直接换行 |
| URL | 空格 | %20 | 查询参数中的空格 |
| URL | & = | %26 %3D | 避免破坏参数结构 |
常见问题
HTML 转义能防止 XSS 攻击吗？
HTML 转义能降低 XSS 风险，但前提是转义后的内容被放在正确的上下文里。页面文本和带引号的属性值可以使用 HTML 实体转义；而 JavaScript 字符串、URL 参数、CSS 等位置需要各自的转义规则。服务端仍应对输入进行校验，不能只依赖前端转义。
为什么 JavaScript 转义后多出了反斜杠？
在 JavaScript 字符串里，反斜杠本身是转义符号，引号和换行也会提前结束字符串。因此工具会把反斜杠写成两个反斜杠，把双引号写成反斜杠加引号，把换行写成 \n，保证这段文本放进字符串后仍然保持原意。
URL 编码和 HTML 转义有什么区别？
URL 编码针对地址和参数，把空格、中文、&、= 等字符转换成百分号形式，例如空格变成 %20；HTML 转义针对页面内容，把 &、<、> 等转换成实体，例如小于号变成 <。两者用途不同，不能互相替代。
反转义失败怎么办？
URL 模式遇到不完整的百分号序列（例如只有一个 % 或 %2）时会解码失败，工具会给出提示。请检查是否复制了完整的 %XX 编码；HTML 和 XML 模式下无法识别的实体名称会原样保留，不会被误删。
输入的内容会发送到服务器吗？
不会。所有转义与反转义都在浏览器本地通过 JavaScript 完成，输入内容不会上传，也不会被保存。
四种模式应该怎么选？
要放进 HTML 页面文本或属性时选 HTML；要放进 JavaScript 字符串时选 JavaScript；要放进 URL 查询参数时选 URL；要放进 XML 文档时选 XML。XML 使用 ' 表示单引号，HTML 实体模式则输出 '。