Does this run entirely in my browser?

Yes. Both escape and unescape use the browser's built-in DOM and string APIs. No content is sent to any server — paste freely, including content with secrets or PII.

Which HTML entities does it cover?

By default it escapes the five characters that matter for XSS: & (ampersand), (greater-than), " (double quote), and ' (apostrophe). Unescape additionally decodes all named HTML entities plus numeric character references (© and ©).

Is escaping alone enough to prevent XSS?

For plain HTML body text contexts, yes — escaping the five critical characters prevents tag injection. But other contexts (inline JavaScript, CSS, URLs, HTML attributes with unquoted values) require their own escaping or different defenses. Treat HTML escape as one layer in a defense-in-depth strategy.

What's the difference between escape and sanitize?

Escape preserves all input — it just makes potentially dangerous characters safe by converting them to entities. Sanitize removes content — it strips or rewrites whole tags and attributes that don't pass a whitelist. Use escape when you want to display plain text; sanitize when you want to allow some safe HTML.

Can I escape HTML for attribute values specifically?

Yes. The default escape mode covers double quotes (for double-quoted attributes) and single quotes (for single-quoted attributes). For maximum safety in attribute contexts, also avoid unquoted attribute values entirely — that's where the trickiest XSS vectors live.

Does it handle international characters?

Yes. Unicode characters pass through unchanged in escape mode (modern browsers handle UTF-8 natively). On the unescape side, numeric entities for any Unicode codepoint are decoded correctly, including emoji and characters from any script.

Why does my escaped string still get rendered as HTML?

You're probably using innerHTML or dangerouslySetInnerHTML somewhere downstream — these bypass escaping. Switch to textContent (DOM) or pass the value as a child node in React/JSX, which handles escaping automatically.

コンバーター所属：コンバーター →

HTMLエスケープ／アンエスケープ

HTMLエンティティへのエスケープとその逆変換を行います。

データは端末内に残りますアップロードなし、サーバーなしオフラインで動作

Escape context

Entity style

Drop .html or .txt file (or click to load)Up to 5MB — loaded entirely in your browser

Input

Escaped

&lt;div class=&quot;tool&quot;&gt;&amp; &quot;fast&quot;&lt;/div&gt;

Unescaped

<div class="tool">& "fast"</div>

このツールを使う理由

テキストを安全なHTMLエンティティに変換し、エンティティをテキストに戻します。マークアップコンテキスト向けのコンテンツ準備に役立ちます。

HTML Escape / Unescapeはマークアップコンテキスト向けにコンテンツを準備するのに役立ちます。

両方向への変換を即座に行えます。

使い方

01テキストまたはエンティティを貼り付けます。

02エスケープまたはアンエスケープされた出力をコピーします。

コピー前のクイックチェック

Confirm the input is the format you intended.

Scan the result before using it in a document, URL, config, or message.

Copy only the output you need.

よくある質問

ローカルで実行されますか？

はい。変換はブラウザ上で行われます。

どのHTMLエンティティが対応していますか？

標準セット：& （アンパサンド）・< （小なり）・> （大なり）・" （ダブルクォート）・' （アポストロフィ）。

XSS攻撃の防止に安全ですか？

はい。このツールでユーザー入力をエスケープすることで、ブラウザでレンダリングされるコンテンツ内のHTMLインジェクションを防止できます。

HTMLエスケープ／アンエスケープ

このツールを使う理由

使い方

コピー前のクイックチェック

よくある質問

関連ツール

JSON Escape / Unescape

URL エンコーダー / デコーダー

JSONフォーマッター

HTMLエスケープ／アンエスケープ

JSON Escape / Unescape→

URL エンコーダー / デコーダー→

JSONフォーマッター→

JSON Escape / Unescape

URL エンコーダー / デコーダー

JSONフォーマッター