String-Escaper

Escapen oder Unescapen Sie Zeichenketten für 8 Formate: HTML, XML, JavaScript, Java, .Net (C#), JSON, CSV und SQL.
Die gesamte Verarbeitung erfolgt lokal in Ihrem Browser — Ihre Daten werden nie auf einen Server hochgeladen.
Format:
Richtung:
Eingabe
Ausgabe
⚠ Sicherheitswarnung: String-Escaping ist kein Ersatz für parametrisierte Abfragen. Escaping allein verhindert SQL-Injection nicht. Verwenden Sie in Produktivcode immer parametrisierte Abfragen (Prepared Statements).
So verwenden Sie es: Wählen Sie ein Format und eine Richtung (Escapen / Unescapen), dann tippen oder fügen Sie Ihren Text ein — die Ausgabe aktualisiert sich automatisch. Klicken Sie auf Verarbeiten, um die Umwandlung manuell auszulösen.
Für die Modi JSON, JavaScript, Java und .Net aktivieren Sie Alle Nicht-ASCII-Zeichen escapen, um Zeichen wie Chinesisch in \uXXXX-Sequenzen umzuwandeln.
Unescape macht das Escaping rückgängig: &lt; wird zu <, \n wird zu einem Zeilenumbruch usw.
HTML: Escape wandelt & < > " ' in HTML-Entities um (&amp; &lt; &gt; &quot; &#39;). Verwenden Sie dies, wenn Sie nutzergenerierten Text in HTML einbetten, um XSS-Angriffe zu verhindern.
Unescape wandelt HTML-Entities (&amp; &lt; &gt; &quot; &#39;) zurück in die ursprünglichen Zeichen. Verwendet den nativen HTML-Parser des Browsers für zuverlässiges Dekodieren aller benannten und numerischen Entities.
XML: Escape wandelt dieselben 5 Zeichen wie HTML (& < > " ') in XML-sichere Entities um. XML verlangt, dass alle &-Zeichen escaped werden, auch in Attributwerten.
Unescape wandelt XML-Entities zurück in die ursprünglichen Zeichen. Verarbeitet die 5 vordefinierten XML-Entities sowie numerische Zeichenreferenzen. Gleiche Logik wie beim HTML-Unescape.
JavaScript: Escape wandelt Sonderzeichen in JavaScript-Escape-Sequenzen um: \n \t \\ \" \' \xHH \uHHHH \u{H...}. Verwenden Sie dies, wenn Sie JavaScript-Zeichenketten dynamisch erzeugen.
Unescape wandelt JavaScript-Escape-Sequenzen (\n \t \xHH \uHHHH usw.) zurück in echte Zeichen. Verarbeitet alle Standard-ECMAScript-Escape-Sequenzen einschließlich der Codepunkt-Escapes \u{H...}.
JSON: Escape wandelt \", \\ und Steuerzeichen in JSON-sichere Escape-Sequenzen nach RFC 8259 um. Verwenden Sie dies, wenn Sie Text in JSON-Zeichenkettenwerte einbetten.
Unescape wandelt JSON-Escape-Sequenzen (\" \\ \n \uXXXX usw.) zurück in echte Zeichen. Folgt RFC 8259: Es werden nur gültige JSON-Escape-Sequenzen dekodiert.
CSV: Escape nach RFC 4180: Umschließt Felder mit doppelten Anführungszeichen, wenn sie Kommas, doppelte Anführungszeichen oder Zeilenumbrüche enthalten. Innere doppelte Anführungszeichen werden verdoppelt (" → "").
Unescape macht das RFC-4180-CSV-Escaping rückgängig: entfernt die äußeren doppelten Anführungszeichen und macht innere Anführungszeichen wieder einfach ("" → "). Verarbeitet mehrzeilige Felder und Kommas in Anführungszeichen korrekt.
SQL: Escape verdoppelt einfache Anführungszeichen (' → ''), was mit allen gängigen Datenbanken funktioniert (MySQL, PostgreSQL, SQL Server, SQLite). Das behandelt nur das Escaping von Zeichenkettenliteralen — es schützt nicht vor SQL-Injection in dynamischen Abfragen.
Unescape wandelt verdoppelte einfache Anführungszeichen ('' → ') zurück in einfache Anführungszeichen. Kehrt das übliche SQL-Escaping von Zeichenkettenliteralen um.
Java: Escape wandelt Sonderzeichen in Java-Escape-Sequenzen um: \n \t \r \\ \" \' \uXXXX usw. Verwenden Sie dies, wenn Sie Java-Zeichenkettenliterale erzeugen.
Unescape wandelt Java-Escape-Sequenzen zurück in echte Zeichen. Verarbeitet alle Standard-Java-Escape-Sequenzen einschließlich der Unicode-Escapes \uXXXX.
.Net (C#): Escape wandelt Sonderzeichen in C#-Escape-Sequenzen um: \n \t \r \a \v \0 \\ \" \uXXXX \UHHHHHHHH usw. Verwenden Sie dies, wenn Sie C#-Zeichenkettenliterale erzeugen.
Unescape wandelt C#-Escape-Sequenzen zurück in echte Zeichen. Verarbeitet alle Standard-C#-Sequenzen einschließlich der UTF-32-Form \UHHHHHHHH und der Hex-Escapes variabler Länge \xHH....
Escaping hängt vom Kontext ab

Derselbe Text braucht je nach Zielort unterschiedliches Escaping: Ein HTML-Body braucht &lt; &amp; &gt;, ein in doppelte Anführungszeichen gesetztes Attribut zusätzlich &quot;, eine JavaScript-Zeichenkette braucht Backslash-Escapes und eine URL braucht Prozent-Kodierung. Falsches Escaping für den Kontext ist der Weg, auf dem Markup-Injection und XSS entstehen.

Faustregel: Escapen Sie für das Ziel, nicht für die Quelle — entscheiden Sie anhand dessen, wohin die Daten gehen, nicht danach, woher sie kommen.