Échappeur de chaînes

Échappez ou déséchappez des chaînes pour 8 formats : HTML, XML, JavaScript, Java, .Net (C#), JSON, CSV et SQL.
Tout le traitement se fait localement dans votre navigateur — vos données ne sont jamais envoyées à un serveur.
Format :
Sens :
Entrée
Sortie
⚠ Avertissement de sécurité : l’échappement de chaînes n’est pas un substitut aux requêtes paramétrées. Le seul échappement ne prévient PAS l’injection SQL. Utilisez toujours des requêtes paramétrées (instructions préparées) dans le code de production.
Mode d’emploi : choisissez un format et un sens (Échapper / Désécharper), puis saisissez ou collez votre texte — la sortie se met à jour automatiquement. Cliquez sur Traiter pour lancer la conversion manuellement.
Pour les modes JSON, JavaScript, Java et .Net, cochez Échapper tous les caractères non ASCII pour convertir des caractères comme le chinois en séquences \uXXXX.
Désécharper inverse l’échappement : &lt; devient <, \n devient un saut de ligne, etc.
HTML : Échapper convertit & < > " ' en entités HTML (&amp; &lt; &gt; &quot; &#39;). À utiliser lorsque vous intégrez du texte produit par l’utilisateur dans du HTML, pour prévenir les attaques XSS.
Désécharper convertit les entités HTML (&amp; &lt; &gt; &quot; &#39;) vers leurs caractères d’origine. Utilise l’analyseur HTML natif du navigateur pour un décodage fiable de toutes les entités nommées et numériques.
XML : Échapper convertit les mêmes 5 caractères que le HTML (& < > " ') en entités compatibles XML. Le XML exige que tous les caractères & soient échappés, même dans les valeurs d’attributs.
Désécharper convertit les entités XML vers leurs caractères d’origine. Gère les 5 entités XML prédéfinies ainsi que les références de caractères numériques. Même logique que le déséchappement HTML.
JavaScript : Échapper convertit les caractères spéciaux en séquences d’échappement JavaScript : \n \t \\ \" \' \xHH \uHHHH \u{H...}. À utiliser pour générer dynamiquement des littéraux de chaîne JavaScript.
Désécharper convertit les séquences d’échappement JavaScript (\n \t \xHH \uHHHH etc.) en caractères littéraux. Gère toutes les séquences ECMAScript standard, y compris les échappements de points de code \u{H...}.
JSON : Échapper convertit \" \\ et les caractères de contrôle en séquences d’échappement compatibles JSON, selon la RFC 8259. À utiliser lorsque vous intégrez du texte dans des valeurs de chaîne JSON.
Désécharper convertit les séquences d’échappement JSON (\" \\ \n \uXXXX etc.) en caractères littéraux. Suit la RFC 8259 : seules les séquences d’échappement JSON valides sont décodées.
CSV : Échapper selon la RFC 4180 : entoure les champs de guillemets doubles s’ils contiennent des virgules, des guillemets doubles ou des sauts de ligne. Les guillemets doubles internes sont doublés (" → "").
Désécharper inverse l’échappement CSV de la RFC 4180 : supprime les guillemets doubles externes et retire le doublement des guillemets internes ("" → "). Gère correctement les champs sur plusieurs lignes et les virgules entre guillemets.
SQL : Échapper double les apostrophes (' → ''), ce qui fonctionne sur toutes les grandes bases (MySQL, PostgreSQL, SQL Server, SQLite). Cela ne gère que l’échappement des littéraux de chaîne — cela ne protège pas contre l’injection SQL dans les requêtes dynamiques.
Désécharper convertit les apostrophes doublées ('' → ') en apostrophes simples. Inverse l’échappement standard des littéraux de chaîne SQL.
Java : Échapper convertit les caractères spéciaux en séquences d’échappement Java : \n \t \r \\ \" \' \uXXXX etc. À utiliser pour générer des littéraux de chaîne Java.
Désécharper convertit les séquences d’échappement Java en caractères littéraux. Gère toutes les séquences Java standard, y compris les échappements Unicode \uXXXX.
.Net (C#) : Échapper convertit les caractères spéciaux en séquences d’échappement C# : \n \t \r \a \v \0 \\ \" \uXXXX \UHHHHHHHH etc. À utiliser pour générer des littéraux de chaîne C#.
Désécharper convertit les séquences d’échappement C# en caractères littéraux. Gère toutes les séquences C# standard, y compris \UHHHHHHHH en UTF-32 et les échappements hexadécimaux de longueur variable \xHH....
L’échappement dépend du contexte

Un même texte demande des échappements différents selon l’endroit où il arrive : le corps HTML a besoin de &lt; &amp; &gt;, un attribut entre guillemets doubles exige en plus &quot;, une chaîne JavaScript demande des échappements par antislash, et une URL un encodage en pourcentage. Échapper pour le mauvais contexte, c’est précisément ce qui permet l’injection de balisage et les attaques XSS.

Règle empirique : échappez pour la destination, et non pour la source — décidez selon l’endroit où vont les données, et non d’où elles viennent.