Decodificatore di entità HTML gratuito — Unescape HTML

Cos'è la decodifica delle entità HTML?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Funzionalità principali

Esempi pratici

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Come usare il decodificatore di entità HTML

1. 1

   Incolla la stringa con escape

   Inserisci nel riquadro di input il testo pieno di entità HTML. I caratteri decodificati si aggiornano in tempo reale mentre digiti — non c'è alcun pulsante di invio e niente viene inviato da nessuna parte.

2. 2

   Leggi il risultato decodificato

   I riferimenti con nome, decimali ed esadecimali si risolvono tutti automaticamente nei caratteri che rappresentano, incluse emoji e altri code point del piano astrale. Non serve alcuna selezione di formato — il decodificatore rileva il tipo di ogni riferimento.

3. 3

   Copia il testo decodificato

   Clicca Copia per mettere i caratteri recuperati negli appunti, pronti da incollare in un editor, un database o un altro strumento. Cancella reimposta entrambi i riquadri per la stringa successiva.

4. 4

   Rifai l'escape prima di rivisualizzare testo non attendibile

   Se l'output decodificato sarà reso di nuovo in una pagina web e parte di esso proveniva da una fonte non attendibile, fagli prima di nuovo l'escape con il codificatore per evitare di riaprire un buco XSS.

5. 5

   Serve invece codificare? Inverti direzione

   Usa Inverti direzione per passare al Codificatore di entità HTML quando vuoi trasformare i caratteri grezzi in entità.

Errori comuni nella decodifica HTML

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Chi usa questo strumento

Leggere markup memorizzato in forma con escape

Hai estratto un frammento HTML da un database, un log o un campo JSON dove era salvato come <div>…? Decodificalo per vedere e modificare il markup reale anziché strizzare gli occhi su un muro di entità.

Analizzare testo a doppia codifica

Vedi &lt; su una pagina attiva dove dovrebbe esserci <? Incollalo qui per confermare che è a doppia codifica, decodificalo due volte per recuperare l'originale e risali al doppio escape fino alla sua fonte nella tua pipeline.

Estrarre testo semplice da snippet HTML

Ti serve il testo leggibile da un corpo di email con escape o da un campo CMS? Decodifica le entità per recuperare i caratteri reali prima di indicizzare, cercare o mostrare il contenuto altrove.

Recuperare caratteri da dati raccolti o esportati

Esportazioni e scraper spesso consegnano contenuti con le entità intatte. Decodifica &, é e simili nei loro caratteri così che i dati siano puliti prima di entrare nei tuoi sistemi.

Verificare che l'output di un codificatore compia il ciclo completo

Dopo aver fatto l'escape di una stringa con il codificatore, decodificala qui per confermare di riottenere l'originale inalterato. Un ciclo pulito dimostra che il tuo escape è corretto e reversibile.

Risolvere un'entità misteriosa

Bloccato su cosa siano davvero ™ o …? Incollalo e leggi il carattere decodificato, oppure consulta la tabella di riferimento rapido integrata — senza bisogno di memorizzare le tabelle delle entità.

Decodificare markup legacy in sicurezza

Lavori con vecchio HTML che usa entità senza punto e virgola come &copy o &nbsp in modo incoerente? Il decodificatore permissivo recupera i caratteri voluti come farebbe un browser reale, così la tua ripulitura corrisponde a ciò che gli utenti vedono davvero.

Come funziona il decodificatore

Risolve tutte e tre le forme di riferimento

Il decodificatore confronta i riferimenti con nome con l'intera tabella di caratteri con nome HTML5, analizza i riferimenti decimali (&#NNN;) come code point in base 10 e analizza i riferimenti esadecimali (&#xHHH;) come code point in base 16. Ciascuno si risolve nel suo carattere Unicode; le tre forme sono interscambiabili in input.

Ricostruzione del piano astrale

I riferimenti numerici il cui code point supera U+FFFF — la maggior parte delle emoji e molti simboli — vengono convertiti nella coppia surrogata corretta così che il carattere venga reso come un singolo glifo. 😀 diventa 😀, non due mezzi caratteri rotti.

Gestione permissiva delle entità legacy

Un sottoinsieme definito di entità con nome appariva storicamente senza il punto e virgola finale, e i browser le risolvono ancora. Il decodificatore rispecchia questo comportamento — &copy 2026 produce © 2026 — in linea con la resa di un browser reale anziché di un parser XML rigido.

Idempotente sul testo semplice

I caratteri che non fanno parte di un riferimento riconosciuto, incluso il testo non ASCII grezzo già presente nell'input, passano inalterati. Decodificare una stringa senza entità la restituisce inalterata, quindi l'operazione è sicura da eseguire su contenuti misti.

L'output decodificato è privo di escape

La decodifica è l'inverso dell'escape protettivo contro l'XSS, quindi il risultato è di nuovo markup attivo. Lo strumento lo mette in evidenza così che tu non inserisca testo decodificato non attendibile in una pagina con innerHTML — rifagli l'escape nel suo contesto di destinazione prima di renderlo.

Locale nel browser, zero rete

La decodifica gira in modo sincrono in JavaScript sul thread principale; non c'è alcuna chiamata API, nessun andata e ritorno a un server e nessuna persistenza. L'input non lascia mai la pagina, cosa che puoi confermare osservando un pannello Network vuoto mentre digiti.

Buone pratiche per l'unescape HTML

Non rendere mai testo decodificato non attendibile direttamente

L'output decodificato è markup privo di escape. Se parte di esso proveniva da un utente o da una fonte esterna, rifagli l'escape prima di inserirlo in una pagina, oppure assegnalo tramite textContent anziché innerHTML. Saltare questo passo riapre il buco di cross-site scripting che l'escape doveva chiudere.

Decodifica nell'ordine inverso della codifica

Un valore può essere HTML-codificato, poi URL-codificato, poi Base64-codificato. Annulla i livelli nell'ordine opposto a quello in cui sono stati applicati — e usa lo strumento corrispondente per ciascuno: questo per le entità, il decodificatore URL per la percent-encoding, lo strumento Base64 per il base64.

Decodifica una volta, non per riflesso

Se una singola decodifica lascia entità visibili come <, l'input era a doppia codifica — decodifica di nuovo per recuperare l'originale, poi correggi la pipeline a monte così che il testo venga sottoposto a escape esattamente una volta. Non andare in loop alla cieca; capisci perché esiste il livello extra.

Servi il risultato come UTF-8

Decodificare i riferimenti numerici produce caratteri Unicode reali — accenti, simboli, emoji. Assicurati che la pagina, il file o il campo che riceve il testo decodificato sia UTF-8, altrimenti quei caratteri recuperati si visualizzeranno come mojibake.

Preferisci una libreria collaudata nel codice applicativo

Per conversioni occasionali questo strumento è ideale; in produzione, decodifica con una libreria ben collaudata (he in Node, il parser del browser tramite una textarea staccata) anziché con una regex fatta a mano, che regolarmente manca riferimenti numerici, caratteri astrali ed entità legacy.

Domande frequenti