無料HTMLエンティティデコーダー — HTMLをアンエスケープ

HTMLエンティティデコードとは?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

主な機能

実践的な例

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

HTMLエンティティデコーダーの使い方

1. 1

   エスケープされた文字列を貼り付ける

   HTMLエンティティだらけのテキストを入力ボックスに入れます。デコードされた文字は入力に応じてライブで更新されます。送信ボタンはなく、どこにも送信されません。

2. 2

   デコード結果を読む

   名前付き・10進・16進の参照はすべて、それらが表す文字に自動的に解決されます。絵文字や他のastral面のコードポイントも含みます。形式の選択は不要です。デコーダーが各参照の種類を検出します。

3. 3

   デコードしたテキストをコピーする

   Copyをクリックして回復した文字をクリップボードに入れ、エディタ、データベース、別のツールに貼り付ける準備をします。Clearは次の文字列のために両方のペインをリセットします。

4. 4

   信頼できないテキストは再表示前に再エスケープする

   デコードした出力をウェブページに戻してレンダリングする予定で、その一部が信頼できないソース由来であれば、XSSの穴を再び開けないよう、まずエンコーダーで再びエスケープしてください。

5. 5

   代わりにエンコードしたい? Swap direction

   生の文字をエンティティに変えたいときは、Swap directionでHTMLエンティティエンコーダーに切り替えてください。

よくあるHTMLデコードの間違い

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

このツールを使う人

エスケープされた形で保存されたマークアップを読む

<div>… として保存されたデータベース、ログ、JSONフィールドからHTML断片を取り出しましたか? デコードして、エンティティの壁を見つめる代わりに本来のマークアップを見て編集しましょう。

二重エンコードされたテキストをデバッグする

< があるべきライブページで &lt; が見えますか? ここに貼り付けて二重エンコードを確認し、2回デコードして元を回復し、重複したエスケープをパイプライン内の発生源まで追跡してください。

HTML断片からプレーンテキストを抽出する

エスケープされたメール本文やCMSフィールドから人が読めるテキストが必要ですか? エンティティをデコードして実際の文字を回復してから、コンテンツをインデックス化・検索・他で表示しましょう。

スクレイピングまたはエクスポートしたデータから文字を回復する

エクスポートやスクレイパーはしばしばエンティティを含んだままコンテンツを渡します。&、é などを文字に戻してデコードし、データを自分のシステムに入れる前にきれいにしましょう。

エンコーダーの出力が往復することを検証する

エンコーダーで文字列をエスケープした後、ここでデコードして元が変わらず戻ることを確認します。きれいな往復は、あなたのエスケープが正しく可逆であることを証明します。

謎のエンティティを解決する

™ や … が実際に何なのか分からなくなりましたか? 貼り付けてデコードされた文字を読むか、内蔵のクイックリファレンス表を参照してください。エンティティ表を暗記する必要はありません。

レガシーマークアップを安全にデコードする

&copy や &nbsp のようなセミコロンなしのエンティティを一貫性なく使う古いHTMLを扱っていますか? 寛容なデコーダーは本物のブラウザと同じように意図された文字を回復するので、あなたのクリーンアップがユーザーが実際に見るものと一致します。

デコーダーの仕組み

3つの参照形式すべてを解決

デコーダーは名前付き参照をHTML5の名前付き文字表全体と照合し、10進参照（&#NNN;）を10進のコードポイントとして、16進参照（&#xHHH;）を16進のコードポイントとして解析します。それぞれがUnicode文字に解決され、3つの形式は入力上で交換可能です。

astral面の再構築

コードポイントが U+FFFF を超える数値参照 — ほとんどの絵文字と多くの記号 — は、文字が単一のグリフとしてレンダリングされるよう正しいサロゲートペアに変換されます。😀 は2つの壊れた半分の文字ではなく 😀 になります。

寛容なレガシーエンティティ処理

定義された名前付きエンティティの一部は歴史的に末尾のセミコロンなしで現れ、ブラウザは今もそれらを解決します。デコーダーはこの挙動を反映し、&copy 2026 は © 2026 を生み、厳密なXMLパーサーではなく本物のブラウザのレンダリングに一致します。

プレーンテキストに対して冪等

認識される参照の一部でない文字 — 入力にすでにある生の非ASCIIテキストを含む — はそのまま通過します。エンティティのない文字列をデコードするとそのまま返るので、この操作は混在コンテンツに対して安全に実行できます。

デコードした出力はアンエスケープされている

デコードはXSSから守るエスケープの逆なので、結果は再び生きたマークアップです。ツールはこれを明示するので、信頼できないデコード済みテキストを innerHTML でページに挿入しないようにできます。レンダリング前に行き先の文脈で再エスケープしてください。

ブラウザローカル、ネットワークゼロ

デコードはJavaScriptのメインスレッドで同期的に実行されます。API呼び出しも、サーバーへの往復も、永続化もありません。入力はページから離れることがなく、入力中に空のネットワークパネルを見ることで確認できます。

HTMLアンエスケープのベストプラクティス

信頼できないデコード済みテキストを直接レンダリングしない

デコードした出力はアンエスケープされたマークアップです。その一部がユーザーや外部ソース由来であれば、ページに挿入する前に再エスケープするか、innerHTML ではなく textContent で割り当ててください。これを省くと、エスケープが閉じるはずだったクロスサイトスクリプティングの穴を再び開けます。

エンコードの逆順でデコードする

値はHTMLエンコードされ、次にURLエンコードされ、次にBase64エンコードされていることがあります。適用された順序の逆で各層を取り消し、それぞれに合うツールを使ってください。エンティティにはこれ、パーセントエンコードにはURLデコーダー、base64にはBase64ツールです。

反射的にではなく、一度だけデコードする

1回のデコードで < のような見えるエンティティが残るなら、入力は二重エンコードされていました。再びデコードして元を回復し、テキストがちょうど1回だけエスケープされるよう上流のパイプラインを修正してください。やみくもにループせず、なぜ余分な層があるのかを理解しましょう。

結果をUTF-8で配信する

数値参照のデコードは本物のUnicode文字 — アクセント、記号、絵文字 — を生みます。デコード済みテキストを受け取るページ、ファイル、フィールドがUTF-8であることを確認してください。さもないと回復した文字が文字化けして表示されます。

アプリケーションコードではテスト済みライブラリを優先する

1回限りの変換にはこのツールが理想的です。本番では、自前の正規表現ではなく十分にテストされたライブラリ（Nodeでは he、ブラウザでは切り離した textarea によるブラウザ自身のパーサー）でデコードしてください。正規表現は数値参照、astral文字、レガシーエンティティを日常的に見落とします。

よくある質問