&; HTML 엔티티 인코더 / 디코더

사용법

1. 인코딩을 고르고 HTML에 넣을 글자를 입력하면 < → <처럼 안전한 엔티티로 바뀌어요. 게시판 글, 코드 예제, 이메일 템플릿에 꺾쇠괄호를 그대로 보여 줘야 할 때 써요.
2. 범위는 보통 최소(& < > " ')면 충분해요. 인코딩이 깨지는 옛 시스템이나 ASCII만 받는 곳에 넣을 때는 ASCII 밖 문자 모두를 고르면 한글·이모지까지 한 같은 숫자 참조로 바꿔요.
3. 디코딩은 <, 😀, © 같은 이름·10진수·16진수 엔티티를 모두 원래 글자로 돌려요. 크롤링한 텍스트나 API 응답에 "가 섞여 나올 때 쓰세요.
4. 아래 자주 쓰는 엔티티 표의 행을 누르면 그 엔티티가 복사돼요.

HTML 엔티티란?

HTML에서 <는 태그의 시작, &는 엔티티의 시작이라는 특별한 뜻이 있어요. 그래서 이 글자들을 글자 그대로 화면에 보여 주려면 엔티티(문자 참조)로 바꿔 써야 해요. 엔티티는 세 가지 모양이 있어요.

문서가 UTF-8이면 한글·이모지·©는 엔티티 없이 그대로 써도 돼요. 꼭 바꿔야 하는 건 &와 <(그리고 속성값 안의 따옴표)뿐이에요.  는 줄이 그 자리에서 바뀌지 않게 붙여 두는 공백이라 "10 km"처럼 숫자와 단위를 붙일 때 써요.

XSS 막기: 어디에 넣느냐에 따라 이스케이프가 달라요

사용자가 입력한 글을 HTML에 그대로 넣으면 <script>나 <img onerror=…>가 실행되는 XSS(크로스 사이트 스크립팅)가 생겨요. HTML 이스케이프는 기본 방어지만, 값이 들어가는 자리(컨텍스트)마다 필요한 처리가 달라요.

자바스크립트로 화면에 글을 넣을 때는 innerHTML 대신 textContent를 쓰면 이스케이프가 필요 없어요. React·Vue 같은 프레임워크도 기본으로 이스케이프하지만 dangerouslySetInnerHTML·v-html은 예외예요. 사용자가 쓴 HTML을 일부 허용해야 한다면 직접 이스케이프하지 말고 DOMPurify 같은 검증된 정화(sanitize) 라이브러리를 쓰세요.

이중 인코딩 (<)

이미 인코딩된 <를 한 번 더 인코딩하면 <가 되고, 화면에는 <가 글자 그대로 보여요. 저장할 때 한 번, 출력할 때 또 한 번 이스케이프하면 생기는 흔한 버그예요. 디코딩에서 "남은 엔티티까지 반복 디코딩"을 켜면 여러 겹을 한 번에 풀 수 있어요. 원칙은 저장은 원본 그대로, 출력하는 순간에 한 번만 이스케이프하는 거예요.

모든 변환은 브라우저 안에서만 이뤄져요. 디코딩은 화면에 아무것도 그리지 않는 textarea에서 처리해서, 입력에 스크립트가 있어도 실행되지 않아요. €~Ÿ는 HTML 표준에 따라 windows-1252 글자(예: – → –)로 해석해요.

자주 묻는 질문

이 도구와 함께 보면 좋은 글

관련 도구