Decodificador de Entidades HTML — Unescape HTML

O Que É a Decodificação de Entidades HTML?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Principais Recursos

Exemplos Práticos

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Como Usar o Decodificador de Entidades HTML

1. 1

   Cole a string escapada

   Coloque o texto cheio de entidades HTML na caixa de entrada. Os caracteres decodificados atualizam ao vivo conforme você digita — não há botão de envio e nada é mandado a lugar nenhum.

2. 2

   Leia o resultado decodificado

   Referências nomeadas, decimais e hexadecimais resolvem automaticamente nos caracteres que representam, incluindo emojis e outros pontos de código do plano astral. Nenhuma seleção de formato é necessária — o decodificador detecta o tipo de cada referência.

3. 3

   Copie o texto decodificado

   Clique em Copiar para colocar os caracteres recuperados na sua área de transferência, prontos para colar num editor, num banco de dados ou em outra ferramenta. Limpar reinicia ambos os painéis para a próxima string.

4. 4

   Reescape antes de reexibir texto não confiável

   Se a saída decodificada for renderizada de volta numa página web e parte dela vier de uma fonte não confiável, escape-a de novo primeiro com o codificador para evitar reabrir uma brecha de XSS.

5. 5

   Precisa codificar? Inverta a direção

   Use Inverter direção para mudar para o Codificador de Entidades HTML quando quiser transformar caracteres brutos em entidades.

Erros Comuns de Decodificação HTML

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Quem Usa Esta Ferramenta

Ler Marcação Armazenada em Forma Escapada

Extraiu um fragmento de HTML de um banco de dados, de um log ou de um campo JSON onde foi salvo como <div>…? Decodifique-o para ver e editar a marcação real em vez de apertar os olhos diante de um muro de entidades.

Depurar Texto com Escape Duplo

Vendo &lt; numa página ativa onde < deveria estar? Cole aqui para confirmar que está duplamente escapado, decodifique duas vezes para recuperar o original e rastreie o escape duplicado de volta à sua origem no seu pipeline.

Extrair Texto Puro de Trechos de HTML

Precisa do texto legível por humanos de um corpo de e-mail ou campo de CMS escapado? Decodifique as entidades para recuperar os caracteres reais antes de indexar, pesquisar ou exibir o conteúdo em outro lugar.

Recuperar Caracteres de Dados Raspados ou Exportados

Exportações e raspadores costumam entregar conteúdo com entidades intactas. Decodifique &, é e companhia de volta em seus caracteres para que os dados estejam limpos antes de entrarem nos seus próprios sistemas.

Verificar se a Saída de um Codificador Faz Ida e Volta

Depois de escapar uma string com o codificador, decodifique-a aqui para confirmar que você recebe o original de volta inalterado. Um ciclo de ida e volta limpo prova que seu escape está correto e reversível.

Resolver uma Entidade Misteriosa

Travou em saber o que ™ ou … realmente é? Cole-a e leia o caractere decodificado, ou consulte a tabela de referência rápida integrada — sem precisar memorizar as tabelas de entidades.

Decodificar Marcação Legada com Segurança

Trabalhando com HTML antigo que usa entidades sem ponto e vírgula como &copy ou &nbsp de forma inconsistente? O decodificador tolerante recupera os caracteres pretendidos do jeito que um navegador real faria, para que sua limpeza corresponda ao que os usuários realmente veem.

Como o Decodificador Funciona

Resolve as Três Formas de Referência

O decodificador compara referências nomeadas com a tabela completa de caracteres nomeados do HTML5, analisa referências decimais (&#NNN;) como pontos de código de base 10 e analisa referências hexadecimais (&#xHHH;) como pontos de código de base 16. Cada uma resolve no seu caractere Unicode; as três formas são intercambiáveis na entrada.

Reconstrução do Plano Astral

Referências numéricas cujo ponto de código excede U+FFFF — a maioria dos emojis e muitos símbolos — são convertidas no par substituto correto para que o caractere renderize como um único glifo. 😀 vira 😀, não dois meio-caracteres quebrados.

Tratamento Tolerante de Entidades Legadas

Um subconjunto definido de entidades nomeadas historicamente aparecia sem o ponto e vírgula final, e os navegadores ainda as resolvem. O decodificador espelha esse comportamento — &copy 2026 produz © 2026 — correspondendo à renderização de um navegador real em vez de um analisador XML estrito.

Idempotente em Texto Puro

Caracteres que não fazem parte de uma referência reconhecida, incluindo texto não-ASCII bruto já presente na entrada, passam intocados. Decodificar uma string sem entidades a retorna inalterada, então a operação é segura para rodar em conteúdo misto.

A Saída Decodificada É Não Escapada

Decodificar é o inverso do escape protetor contra XSS, então o resultado é marcação viva de novo. A ferramenta evidencia isso para que você não insira texto decodificado não confiável numa página com innerHTML — reescape-o no seu contexto de destino antes de renderizar.

Local no Navegador, Rede Zero

A decodificação roda de forma síncrona em JavaScript na thread principal; não há chamada de API, nem ida e volta a um servidor, nem persistência. A entrada nunca sai da página, o que você pode confirmar observando um painel Network vazio enquanto digita.

Boas Práticas de Unescape de HTML

Nunca Renderize Texto Decodificado Não Confiável Diretamente

A saída decodificada é marcação não escapada. Se parte dela veio de um usuário ou de uma fonte externa, reescape-a antes de inseri-la numa página, ou atribua-a via textContent em vez de innerHTML. Pular isso reabre a brecha de cross-site scripting que o escape deveria fechar.

Decodifique na Ordem Inversa da Codificação

Um valor pode estar codificado em HTML, depois em URL, depois em Base64. Desfaça as camadas na ordem oposta em que foram aplicadas — e use a ferramenta correspondente a cada uma: esta para entidades, o decodificador de URL para codificação percent, a ferramenta Base64 para base64.

Decodifique Uma Vez, Não Reflexivamente

Se uma única decodificação deixa entidades visíveis como <, a entrada estava duplamente escapada — decodifique de novo para recuperar o original, depois conserte o pipeline a montante para que o texto seja escapado exatamente uma vez. Não faça loop cegamente; entenda por que a camada extra existe.

Sirva o Resultado como UTF-8

Decodificar referências numéricas produz caracteres Unicode reais — acentos, símbolos, emojis. Certifique-se de que a página, o arquivo ou o campo que recebe o texto decodificado seja UTF-8, ou esses caracteres recuperados exibirão como mojibake.

Prefira uma Biblioteca Testada no Código da Aplicação

Para conversões pontuais esta ferramenta é ideal; em produção, decodifique com uma biblioteca bem testada (he no Node, o próprio analisador do navegador via um textarea destacado) em vez de uma regex feita à mão, que rotineiramente perde referências numéricas, caracteres astrais e entidades legadas.

Perguntas Frequentes