Escapador de cadenas

Escape o desescape cadenas en 8 formatos: HTML, XML, JavaScript, Java, .Net (C#), JSON, CSV y SQL.
Todo el procesamiento se realiza localmente en su navegador: sus datos nunca se suben a ningún servidor.
Formato:
Dirección:
Entrada
Salida
⚠ Advertencia de seguridad: escapar cadenas no sustituye a las consultas parametrizadas. Escapar por sí solo NO evita la inyección SQL. Use siempre consultas parametrizadas (sentencias preparadas) en el código de producción.
Cómo se usa: elija un formato y una dirección (Escapar / Desescapar), y después escriba o pegue su texto: la salida se actualiza automáticamente. Haga clic en Procesar para lanzar la conversión manualmente.
En los modos JSON, JavaScript, Java y .Net, marque Escapar todos los caracteres no ASCII para convertir caracteres como los chinos en secuencias \uXXXX.
Desescapar invierte el escape: &lt; se convierte en <, \n en un salto de línea, etc.
HTML: Escapar convierte & < > " ' en entidades HTML (&amp; &lt; &gt; &quot; &#39;). Úselo al incrustar texto generado por usuarios en HTML para evitar ataques XSS.
Desescapar convierte las entidades HTML (&amp; &lt; &gt; &quot; &#39;) de nuevo a sus caracteres originales. Usa el analizador HTML nativo del navegador para decodificar de forma fiable todas las entidades con nombre y numéricas.
XML: Escapar convierte los mismos 5 caracteres que HTML (& < > " ') en entidades seguras para XML. XML exige escapar todos los caracteres &, incluso en los valores de atributo.
Desescapar convierte las entidades XML de nuevo a sus caracteres originales. Gestiona las 5 entidades predefinidas de XML y las referencias numéricas de carácter. La misma lógica que el desescape de HTML.
JavaScript: Escapar convierte los caracteres especiales en secuencias de escape de JavaScript: \n \t \\ \" \' \xHH \uHHHH \u{H...}. Úselo al generar literales de cadena de JavaScript de forma dinámica.
Desescapar convierte las secuencias de escape de JavaScript (\n \t \xHH \uHHHH, etc.) de nuevo a caracteres literales. Gestiona todas las secuencias de escape estándar de ECMAScript, incluidos los escapes de punto de código \u{H...}.
JSON: Escapar convierte \", \\ y los caracteres de control en secuencias de escape seguras para JSON según la RFC 8259. Úselo al incrustar texto dentro de valores de cadena JSON.
Desescapar convierte las secuencias de escape de JSON (\" \\ \n \uXXXX, etc.) de nuevo a caracteres literales. Sigue la RFC 8259: solo se decodifican las secuencias de escape JSON válidas.
CSV: Escapar según la RFC 4180: envuelve los campos entre comillas dobles si contienen comas, comillas dobles o saltos de línea. Las comillas dobles internas se duplican (" → "").
Desescapar invierte el escape CSV de la RFC 4180: quita las comillas dobles exteriores y deshace la duplicación de las internas ("" → "). Gestiona correctamente los campos de varias líneas y las comas entre comillas.
SQL: Escapar escapa las comillas simples duplicándolas (' → ''), lo que funciona en todas las bases de datos principales (MySQL, PostgreSQL, SQL Server, SQLite). Esto solo trata el escape de literales de cadena: no protege contra la inyección SQL en consultas dinámicas.
Desescapar convierte las comillas simples duplicadas ('' → ') de nuevo a comillas simples. Invierte el escape estándar de SQL para literales de cadena.
Java: Escapar convierte los caracteres especiales en secuencias de escape de Java: \n \t \r \\ \" \' \uXXXX, etc. Úselo al generar literales de cadena de Java.
Desescapar convierte las secuencias de escape de Java de nuevo a caracteres literales. Gestiona todas las secuencias de escape estándar de Java, incluidos los escapes Unicode \uXXXX.
.Net (C#): Escapar convierte los caracteres especiales en secuencias de escape de C#: \n \t \r \a \v \0 \\ \" \uXXXX \UHHHHHHHH, etc. Úselo al generar literales de cadena de C#.
Desescapar convierte las secuencias de escape de C# de nuevo a caracteres literales. Gestiona todas las secuencias estándar de C#, incluidos \UHHHHHHHH (UTF-32) y los escapes hexadecimales de longitud variable \xHH....
El escape depende del contexto

El mismo texto necesita escapes distintos según dónde vaya a parar: el cuerpo HTML necesita &lt; &amp; &gt;, un atributo entre comillas dobles necesita además &quot;, una cadena de JavaScript necesita escapes con barra invertida, y una URL necesita codificación porcentual. Escapar para el contexto equivocado es la forma en que se producen la inyección de marcado y el XSS.

Regla práctica: escape para el destino, no para el origen; decida según adónde van los datos, no de dónde vinieron.