مرمّز كيانات HTML

الكيان طريقة لكتابة محرف كان سيُقرأ ترميزًا لولا ذلك. فـ< تضع < حرفية على الصفحة بدل أن تبدأ وسمًا. وله ثلاث صور: مسمّاة (&)، وعشرية (&)، وستّ عشرية (&)، وهي تعني الشيء نفسه بالضبط.

وخمسة محارف فقط تحتاج التهريب فعلًا في HTML الحديث: & و< و>، ونوعا علامات الاقتباس داخل قيم السمات. وكل ما عداها — العربية والحركات والإيموجي والشرطات — يُقدَّم على أتمّ وجه بترميز UTF-8، وتهريبه يكبّر الملف ويجعل تحريره أصعب بكثير.

والترتيب يهمّ، والخطأ فيه هو العلّة الكلاسيكية. فعلامة العطف يجب تهريبها أولًا. هرّب < أولًا فتُهرَّب & التي في < التي أنتجتها للتوّ في التمريرة الثانية، فتعطي < — وهي تُعرض على الصفحة نصًّا حرفيًا هو <. وذلك ما حدث كلما رأيت رموز كيانات خامّة في عنوان على موقع حيّ.

وفكّ الترميز يقبل الصور الثلاث ويترك ما لا يعرفه كما هو بالضبط، بدل إسقاطه في صمت. فعلامة & شاردة في نثر ليست كيانًا مكسورًا ولا ينبغي مسّها.

الحالة التي وُجد هذا لها فعلًا: عرض شفرة على صفحة. تريد لزائر أن يقرأ <a href="?a=1&b=2"> بدل أن يعرض المتصفّح رابطًا. الصقها، ورمّزها بالإعداد الأدنى، وضع الناتج داخل <pre> عندك. وكل موقع توثيق يفعل هذا، وفعله يدويًا هو حيث يتسلّل التهريب الناقص.

والملاحظة الأمنية، منصوصًا عليها بدقّة. التهريب هو ما يمنع مدخل المستخدم من أن يصير ترميزًا — فتعليق يحوي <script> يصير خاملًا بعد تهريبه. لكن هذا ليس دفاعًا عن XSS تستطيع الاعتماد عليه بلصق نصّ عبر صفحة ويب. هرّب عند نقطة الإخراج، في محرّك القوالب عندك، تلقائيًا، لكل قيمة. فالتمريرة اليدوية عبر أي أداة تغطّي السلسلة الواحدة التي تذكّرتها.

وقيم السمات تحتاج تهريب علامات اقتباسها أيضًا. title="5" wide" تنتهي عند علامة الاقتباس الثانية، ويصير الباقي سمات شاردة. وهذه هي الآلية وراء وصف تعريفي يتوقّف على نحو غامض عند فاصلة عليا — ومولّد وسوم الميتا يهرّب تلقائيًا لذلك السبب.

ومتى تستعمل الإعداد العددي. نادرًا جدًّا — لكن إن كان ملف قد يُقدَّم بلا إعلان ترميز، أو ذاهبًا إلى نظام يشوّه كل ما فوق ASCII، فتهريب كل محرف غير ASCII عدديًا ينجو منه. حمّل عيّنة فكّ الترميز: مرحبا هي مرحبا، خمسة حروف عربية مكتوبة خمسَ نقاط ترميز عشرية.

وإن كان ما تهرّبه رابطًا لا ترميزًا، فمرمّز الروابط هو الأداة الصحيحة — فترميز النسبة المئوية والكيانات غير متبادلين.