Les entités nommées comme & se lisent naturellement ; les formes numériques comme & — ou hexadécimales & — fonctionnent pour tout caractère, même lorsqu’aucun nom n’existe. Les entités existent pour que des caractères de balisage puissent apparaître comme du texte : sans elles, un < isolé ouvre une balise et casse l’analyse.
En pratique, seuls cinq caractères doivent être échappés en HTML : < > & " ' — échapper le reste relève de la lisibilité, non de la sécurité.
Tableau de référence : références de caractères nommées HTML5 complètes — saisissez pour rechercher, cliquez sur une ligne pour copier son code d’entité.
Astuce : collez un seul caractère pour trouver son entité