Escapování řetězců

Escape nebo Unescape řetězců pro 8 formátů: HTML, XML, JavaScript, Java, .Net (C#), JSON, CSV a SQL.
Veškeré zpracování probíhá lokálně ve vašem prohlížeči — vaše data se nikdy nenahrávají na žádný server.
Formát:
Směr:
Vstup
Výstup
⚠ Bezpečnostní upozornění: escapování řetězců není náhradou za parametrizované dotazy. Samotné escapování NEZABRÁNÍ SQL injection. V produkčním kódu vždy používejte parametrizované dotazy (připravené příkazy).
Jak použít: Zvolte formát a směr (Escape / Unescape), pak napište nebo vložte svůj text — výstup se aktualizuje automaticky. Klikněte na Zpracovat, chcete-li převod spustit ručně.
U režimů JSON, JavaScript, Java a .Net zaškrtněte Escapovat všechny znaky mimo ASCII, aby se znaky jako čínština převedly na sekvence \uXXXX.
Unescape escapování obrací: < se změní na <, \n se změní na nový řádek atd.
HTML: Escape převádí & < > " ' na entity HTML (& < > " '). Použijte, když vkládáte text vytvořený uživatelem do HTML, abyste zabránili útokům XSS.
Unescape převádí entity HTML (& < > " ') zpět na původní znaky. Používá nativní parser HTML prohlížeče pro spolehlivé dekódování všech pojmenovaných a číselných entit.
XML: Escape převádí stejných 5 znaků jako HTML (& < > " ') na entity bezpečné pro XML. XML vyžaduje, aby byly všechny znaky & escapovány, i v hodnotách atributů.
Unescape převádí entity XML zpět na původní znaky. Zvládá 5 předdefinovaných entit XML a číselné odkazy na znaky. Stejná logika jako unescape HTML.
JavaScript: Escape převádí speciální znaky na escape sekvence JavaScriptu: \n \t \\ \" \' \xHH \uHHHH \u{H...}. Použijte, když dynamicky generujete řetězcové literály JavaScriptu.
Unescape převádí escape sekvence JavaScriptu (\n \t \xHH \uHHHH atd.) zpět na doslovné znaky. Zvládá všechny standardní escape sekvence ECMAScriptu včetně escapů bodů kódu \u{H...}.
JSON: Escape převádí \" \\ a řídicí znaky na escape sekvence bezpečné pro JSON podle RFC 8259. Použijte, když vkládáte text do hodnot řetězců JSON.
Unescape převádí escape sekvence JSON (\" \\ \n \uXXXX atd.) zpět na doslovné znaky. Řídí se RFC 8259: dekódují se jen platné escape sekvence JSON.
CSV: Escape podle RFC 4180: obalí pole do dvojitých uvozovek, pokud obsahují čárky, dvojité uvozovky nebo zalomení řádků. Vnitřní dvojité uvozovky se zdvojují (" → "").
Unescape obrací escapování CSV podle RFC 4180: odstraní vnější dvojité uvozovky a vnitřní zdvojené uvozovky vrátí na jedny ("" → "). Správně zvládá pole s více řádky a uvozované čárky.
SQL: Escape escapuje jednoduché uvozovky jejich zdvojením (' → ''), což funguje ve všech hlavních databázích (MySQL, PostgreSQL, SQL Server, SQLite). Řeší jen escapování řetězcových literálů — nechrání před SQL injection v dynamických dotazech.
Unescape převádí zdvojené jednoduché uvozovky ('' → ') zpět na jednoduché. Obrací standardní escapování řetězcových literálů SQL.
Java: Escape převádí speciální znaky na escape sekvence Javy: \n \t \r \\ \" \' \uXXXX atd. Použijte, když generujete řetězcové literály Javy.
Unescape převádí escape sekvence Javy zpět na doslovné znaky. Zvládá všechny standardní escape sekvence Javy včetně unicodových escapů \uXXXX.
.Net (C#): Escape převádí speciální znaky na sekvence escapů C#: \n \t \r \a \v \0 \\ \" \uXXXX \UHHHHHHHH atd. Použijte, když generujete řetězcové literály C#.
Unescape převádí sekvence escapů C# zpět na doslovné znaky. Zvládá všechny standardní sekvence C#, včetně \UHHHHHHHH UTF-32 a hex escapů proměnné délky \xHH....
Escapování závisí na kontextu

Stejný text potřebuje různé escapy podle toho, kam přistane: tělo HTML potřebuje < & >, atribut v uvozovkách navíc ", řetězec JavaScriptu zpětná lomítka a URL procentuální kódování. Escapování pro špatný kontext je způsob, jak vzniká vkládání značek a XSS.

Praktické pravidlo: escapujte pro cíl, ne pro zdroj — rozhodněte podle toho, kam data půjdou, ne odkud přišla.