Kostenloser HTML-Entity-Decoder — HTML dekodieren

Was ist HTML-Entity-Dekodierung?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Hauptfunktionen

Praktische Beispiele

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

So verwendest du den HTML-Entity-Decoder

1. 1

   Füge die escapte Zeichenkette ein

   Lege den Text voller HTML-Entities in das Eingabefeld. Die dekodierten Zeichen aktualisieren sich live, während du tippst — es gibt keinen Absenden-Knopf und nichts wird irgendwohin gesendet.

2. 2

   Lies das dekodierte Ergebnis

   Benannte, dezimale und hexadezimale Referenzen lösen sich alle automatisch zu den Zeichen auf, die sie repräsentieren, einschließlich Emoji und anderer astraler Codepunkte. Keine Formatauswahl nötig — der Decoder erkennt den Typ jeder Referenz.

3. 3

   Kopiere den dekodierten Text

   Klicke auf Kopieren, um die wiederhergestellten Zeichen in deine Zwischenablage zu legen, bereit zum Einfügen in einen Editor, eine Datenbank oder ein anderes Tool. Leeren setzt beide Bereiche für die nächste Zeichenkette zurück.

4. 4

   Vor erneutem Anzeigen nicht vertrauenswürdigen Texts neu escapen

   Wenn die dekodierte Ausgabe wieder in eine Webseite gerendert wird und ein Teil davon aus einer nicht vertrauenswürdigen Quelle stammt, escape ihn zuerst erneut mit dem Encoder, um kein XSS-Loch wieder zu öffnen.

5. 5

   Stattdessen kodieren? Richtung tauschen

   Nutze „Richtung tauschen“, um zum HTML-Entity-Encoder zu wechseln, wenn du rohe Zeichen in Entities verwandeln willst.

Häufige Fehler beim HTML-Dekodieren

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Wer dieses Tool nutzt

In escapter Form gespeichertes Markup lesen

Ein HTML-Fragment aus einer Datenbank, einem Log oder einem JSON-Feld gezogen, wo es als <div>… gespeichert war? Dekodiere es, um das echte Markup zu sehen und zu bearbeiten, statt auf eine Wand aus Entities zu schielen.

Doppelkodierten Text debuggen

Siehst du &lt; auf einer Live-Seite, wo < stehen sollte? Füge es hier ein, um zu bestätigen, dass es doppelkodiert ist, dekodiere es zweimal, um das Original wiederherzustellen, und verfolge das doppelte Escaping zurück zu seiner Quelle in deiner Pipeline.

Klartext aus HTML-Snippets extrahieren

Brauchst du den menschenlesbaren Text aus einem escapten E-Mail-Body oder CMS-Feld? Dekodiere die Entities, um die tatsächlichen Zeichen wiederherzustellen, bevor du den Inhalt indizierst, durchsuchst oder anderswo anzeigst.

Zeichen aus gescrapten oder exportierten Daten wiederherstellen

Exporte und Scraper liefern Inhalte oft mit intakten Entities. Dekodiere &, é und Konsorten zurück in ihre Zeichen, damit die Daten sauber sind, bevor sie in deine eigenen Systeme gelangen.

Verifizieren, dass die Encoder-Ausgabe roundtript

Nachdem du eine Zeichenkette mit dem Encoder escaped hast, dekodiere sie hier, um zu bestätigen, dass du das Original unverändert zurückbekommst. Ein sauberer Roundtrip beweist, dass dein Escaping korrekt und umkehrbar ist.

Eine rätselhafte Entity auflösen

Steckst du fest, was ™ oder … eigentlich ist? Füge es ein und lies das dekodierte Zeichen, oder konsultiere die integrierte Schnellreferenztabelle — kein Auswendiglernen der Entity-Tabellen nötig.

Veraltetes Markup sicher dekodieren

Arbeitest du mit altem HTML, das semikolonlose Entities wie &copy oder &nbsp inkonsistent verwendet? Der nachsichtige Decoder stellt die beabsichtigten Zeichen so wieder her, wie es ein echter Browser täte, sodass dein Aufräumen dem entspricht, was Benutzer tatsächlich sehen.

Wie der Decoder funktioniert

Löst alle drei Referenzformen auf

Der Decoder gleicht benannte Referenzen mit der vollständigen HTML5-Tabelle benannter Zeichen ab, parst dezimale Referenzen (&#NNN;) als Basis-10-Codepunkte und parst hexadezimale Referenzen (&#xHHH;) als Basis-16-Codepunkte. Jede löst zu ihrem Unicode-Zeichen auf; die drei Formen sind bei der Eingabe austauschbar.

Rekonstruktion astraler Zeichen

Numerische Referenzen, deren Codepunkt U+FFFF überschreitet — die meisten Emoji und viele Symbole —, werden in das korrekte Surrogatpaar umgewandelt, sodass das Zeichen als einzelnes Glyph rendert. 😀 wird zu 😀, nicht zu zwei kaputten Halbzeichen.

Nachsichtige Behandlung veralteter Entities

Eine definierte Teilmenge benannter Entities erschien historisch ohne abschließendes Semikolon, und Browser lösen sie noch immer auf. Der Decoder spiegelt dieses Verhalten — &copy 2026 ergibt © 2026 — und entspricht damit dem Rendering eines echten Browsers statt eines strikten XML-Parsers.

Idempotent bei reinem Text

Zeichen, die nicht Teil einer erkannten Referenz sind, einschließlich rohen Nicht-ASCII-Texts, der bereits in der Eingabe vorhanden ist, laufen unangetastet durch. Das Dekodieren einer Zeichenkette ohne Entities gibt sie unverändert zurück, sodass die Operation auf gemischten Inhalten sicher ausführbar ist.

Dekodierte Ausgabe ist unescaped

Dekodieren ist die Umkehrung des XSS-schützenden Escapings, sodass das Ergebnis wieder aktives Markup ist. Das Tool weist darauf hin, damit du dekodierten nicht vertrauenswürdigen Text nicht mit innerHTML in eine Seite einfügst — escape ihn vor dem Rendern in seinem Zielkontext erneut.

Browser-lokal, null Netzwerk

Die Dekodierung läuft synchron in JavaScript im Hauptthread; es gibt keinen API-Aufruf, keinen Server-Roundtrip und keine Persistenz. Die Eingabe verlässt nie die Seite, was du bestätigen kannst, indem du beim Tippen ein leeres Netzwerk-Panel beobachtest.

Best Practices für HTML-Unescaping

Dekodierten nicht vertrauenswürdigen Text nie direkt rendern

Dekodierte Ausgabe ist unescaptes Markup. Wenn ein Teil davon von einem Benutzer oder einer externen Quelle stammt, escape ihn vor dem Einfügen in eine Seite erneut, oder weise ihn über textContent statt innerHTML zu. Dies zu überspringen, öffnet das Cross-Site-Scripting-Loch wieder, das Escapen schließen sollte.

In umgekehrter Reihenfolge der Kodierung dekodieren

Ein Wert kann HTML-kodiert, dann URL-kodiert, dann Base64-kodiert sein. Mach die Schichten in der umgekehrten Reihenfolge ihrer Anwendung rückgängig — und nutze für jede das passende Tool: dieses für Entities, den URL-Decoder für Prozentkodierung, das Base64-Tool für Base64.

Einmal dekodieren, nicht reflexhaft

Wenn ein einzelnes Dekodieren sichtbare Entities wie < übrig lässt, war die Eingabe doppelkodiert — dekodiere erneut, um das Original wiederherzustellen, und korrigiere dann die vorgelagerte Pipeline, sodass Text genau einmal escaped wird. Schleife nicht blind; verstehe, warum die zusätzliche Schicht existiert.

Das Ergebnis als UTF-8 ausliefern

Das Dekodieren numerischer Referenzen erzeugt echte Unicode-Zeichen — Akzente, Symbole, Emoji. Stelle sicher, dass die Seite, Datei oder das Feld, das den dekodierten Text empfängt, UTF-8 ist, sonst werden diese wiederhergestellten Zeichen als Mojibake angezeigt.

Im Anwendungscode eine getestete Bibliothek bevorzugen

Für einmalige Umwandlungen ist dieses Tool ideal; in Produktion dekodiere mit einer gut getesteten Bibliothek (he in Node, der eigene Parser des Browsers über ein abgekoppeltes Textarea) statt mit einem selbstgeschriebenen Regex, der regelmäßig numerische Referenzen, astrale Zeichen und veraltete Entities übersieht.

Häufig gestellte Fragen