글에 코드를 넣을 때 깨지는 문자
블로그·위키·도움말에 <div>를 그대로 붙이면 브라우저가 실제 태그로 해석합니다. 앰퍼샌드(&)는 엔티티의 시작으로 오해됩니다. HTML 인코더는 &, <, >, 큰따옴표, 작은따옴표를 각각 &, <, >, ", '로 바꿉니다. 변환은 이 탭의 JavaScript만 사용하며 서버로 본문을 올리지 않습니다.
이 결과는 “텍스트로 보여 주기”용입니다. 사용자 댓글·업로드 HTML을 안전하게 만드는 완전한 XSS 필터가 아닙니다. 속성 안 이벤트 핸들러, javascript: URL, SVG 스크립트는 엔티티 몇 개로 끝나지 않습니다. 서비스에 넣을 입력은 서버에서 이스케이프하고 Content-Security-Policy를 적용하세요.
예시: 상품명에 꺾쇠와 &
원문 원두 <스페셜> & 드립백을 이스케이프하면 꺾쇠와 앰퍼샌드가 엔티티로 바뀌어, 페이지에 붙여도 레이아웃이 무너지지 않습니다. CMS가 이미 한 번 이스케이프하는 편집기라면 두 번 바꾸지 마세요. 미리보기에서 &가 화면에 그대로 보이면 이중 이스케이프입니다.
엔티티 복원은 편집 중인 초안을 다시 원문으로 볼 때만 쓰세요. 메일로 받은 의심스러운 HTML을 복원해 이 탭에서 실행하지 마세요. 이 페이지는 복원 결과를 렌더하지 않고 텍스트 칸에만 넣습니다.
JSON·URL과 순서를 나누기
API 응답 안의 HTML 필드는 먼저 JSON 포맷터로 구조를 확인한 뒤, 필요한 문자열만 이 도구로 이스케이프하세요. 쿼리에 HTML을 실을 일은 거의 없고, 주소 값은 URL 인코더입니다. 바이너리 흉내는 Base64입니다. 제목 대소문자만 바꾸려면 대소문자 변환을 씁니다.
공용 PC·공유 화면에서는 관리자 템플릿, 내부 대시보드 마크업, API 키가 섞인 예제를 붙여 넣지 마세요. 작업이 끝나면 입력과 결과를 지우세요.
자주 묻는 질문
이 도구로 XSS를 막을 수 있나요?
아니요. 주요 특수문자를 엔티티로 바꿀 뿐입니다. 신뢰할 수 없는 HTML을 삽입해야 하면 서버 측 살균과 CSP가 필요합니다.
모든 유니코드가 숫자 엔티티가 되나요?
아닙니다. 한글과 일반 문자는 그대로 두고, 마크업을 깨는 문자 위주로 바꿉니다.
복원(언이스케이프)은 안전한가요?
미리보기용입니다. 출처를 모르는 문자열을 복제한 뒤 다른 사이트에 붙여 실행하지 마세요.
입력이 저장되나요?
저장하지 않습니다. 새로고침하면 칸이 비었습니다. 공용 PC에는 비밀 스니펫을 넣지 마세요.
같은 이름 엔티티도 복원되나요?
브라우저 textarea 해석에 맡기므로 일부 이름 엔티티는 복원될 수 있습니다. 모든 HTML5 엔티티 표를 보장하지는 않습니다.