Бесплатный HTML-декодировщик сущностей — unescape HTML

Что такое декодирование HTML-сущностей?

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

Ключевые возможности

Разобранные примеры

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

Как пользоваться HTML-декодировщиком сущностей

1. 1

   Вставьте экранированную строку

   Поместите текст, полный HTML-сущностей, в поле ввода. Декодированные символы обновляются в реальном времени по мере ввода — кнопки отправки нет, и ничего никуда не отправляется.

2. 2

   Прочитайте декодированный результат

   Именованные, десятичные и шестнадцатеричные ссылки автоматически раскрываются в символы, которые они представляют, включая эмодзи и другие кодовые точки астральных плоскостей. Выбор формата не нужен — декодировщик определяет тип каждой ссылки.

3. 3

   Скопируйте декодированный текст

   Нажмите «Копировать», чтобы поместить восстановленные символы в буфер обмена, готовые к вставке в редактор, базу данных или другой инструмент. «Очистить» сбрасывает обе панели для следующей строки.

4. 4

   Заново экранируйте перед повторным показом недоверенного текста

   Если декодированный вывод будет отрисован обратно на веб-странице и хоть что-то из него пришло из недоверенного источника, сначала экранируйте его снова кодировщиком, чтобы не открыть заново дыру XSS.

5. 5

   Нужно вместо этого закодировать? Смените направление

   Используйте «Сменить направление», чтобы переключиться на HTML-кодировщик сущностей, когда хотите превратить сырые символы в сущности.

Частые ошибки декодирования HTML

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

Кто пользуется этим инструментом

Чтение разметки, хранимой в экранированной форме

Достали HTML-фрагмент из базы данных, лога или JSON-поля, где он был сохранён как <div>…? Декодируйте его, чтобы увидеть и отредактировать реальную разметку, а не вглядываться в стену сущностей.

Отладка дважды закодированного текста

Видите &lt; на живой странице там, где должно быть <? Вставьте сюда, чтобы подтвердить двойное кодирование, декодируйте дважды для восстановления оригинала и проследите дублирующее экранирование до его источника в вашем конвейере.

Извлечение обычного текста из HTML-фрагментов

Нужен человекочитаемый текст из экранированного тела письма или поля CMS? Декодируйте сущности, чтобы восстановить реальные символы, прежде чем индексировать, искать или показывать содержимое где-то ещё.

Восстановление символов из спарсенных или экспортированных данных

Экспорты и скраперы часто отдают содержимое с нетронутыми сущностями. Декодируйте &, é и им подобные обратно в символы, чтобы данные были чистыми перед попаданием в ваши системы.

Проверка обратимости вывода кодировщика

После экранирования строки кодировщиком декодируйте её здесь, чтобы убедиться, что получаете оригинал без изменений. Чистый круговой проход доказывает, что ваше экранирование корректно и обратимо.

Разгадка загадочной сущности

Застряли на том, что на самом деле означает ™ или …? Вставьте её и считайте декодированный символ или загляните во встроенную справочную таблицу — не нужно запоминать таблицы сущностей.

Безопасное декодирование устаревшей разметки

Работаете со старым HTML, где непоследовательно используются сущности без точки с запятой вроде &copy или &nbsp? Снисходительный декодировщик восстанавливает задуманные символы так же, как настоящий браузер, поэтому ваша очистка совпадает с тем, что видят пользователи.

Как работает декодировщик

Раскрывает все три формы ссылок

Декодировщик сопоставляет именованные ссылки с полной таблицей именованных символов HTML5, разбирает десятичные ссылки (&#NNN;) как кодовые точки по основанию 10 и шестнадцатеричные ссылки (&#xHHH;) как кодовые точки по основанию 16. Каждая раскрывается в свой символ Unicode; три формы взаимозаменяемы на входе.

Восстановление астральных плоскостей

Числовые ссылки, чья кодовая точка превышает U+FFFF — большинство эмодзи и многие символы — преобразуются в правильную суррогатную пару, так что символ отрисовывается как единый глиф. 😀 становится 😀, а не двумя сломанными полусимволами.

Снисходительная обработка устаревших сущностей

Определённое подмножество именованных сущностей исторически появлялось без завершающей точки с запятой, и браузеры по-прежнему их раскрывают. Декодировщик повторяет это поведение — &copy 2026 даёт © 2026 — совпадая с отрисовкой настоящего браузера, а не строгого XML-парсера.

Идемпотентен на обычном тексте

Символы, не являющиеся частью распознанной ссылки, включая сырой текст не из ASCII, уже присутствующий во вводе, проходят нетронутыми. Декодирование строки без сущностей возвращает её без изменений, поэтому операцию безопасно запускать на смешанном содержимом.

Декодированный вывод не экранирован

Декодирование — обратная сторона защитного от XSS экранирования, поэтому результат снова является живой разметкой. Инструмент об этом сообщает, чтобы вы не вставляли декодированный недоверенный текст на страницу через innerHTML — заново экранируйте его в контексте назначения перед отрисовкой.

Локально в браузере, ноль сети

Декодирование выполняется синхронно в JavaScript в основном потоке; нет ни вызовов API, ни обмена с сервером, ни сохранения. Ввод никогда не покидает страницу, в чём можно убедиться, наблюдая пустую панель Network во время ввода.

Лучшие практики снятия экранирования HTML

Никогда не отрисовывайте декодированный недоверенный текст напрямую

Декодированный вывод — неэкранированная разметка. Если хоть что-то из него пришло от пользователя или внешнего источника, заново экранируйте его перед вставкой на страницу или присваивайте через textContent, а не innerHTML. Пропуск этого вновь открывает дыру межсайтового скриптинга, которую экранирование должно было закрыть.

Декодируйте в порядке, обратном кодированию

Значение может быть закодировано в HTML, затем в URL, затем в Base64. Снимайте слои в порядке, обратном применению — и используйте подходящий инструмент для каждого: этот для сущностей, URL-декодировщик для процентного кодирования, инструмент Base64 для base64.

Декодируйте один раз, а не рефлекторно

Если одно декодирование оставляет видимые сущности вроде <, ввод был закодирован дважды — декодируйте снова для восстановления оригинала, затем исправьте конвейер выше, чтобы текст экранировался ровно один раз. Не зацикливайтесь вслепую; поймите, откуда взялся лишний слой.

Отдавайте результат как UTF-8

Декодирование числовых ссылок даёт реальные символы Unicode — диакритику, символы, эмодзи. Убедитесь, что страница, файл или поле, принимающее декодированный текст, в UTF-8, иначе эти восстановленные символы отобразятся как кракозябры.

Предпочитайте протестированную библиотеку в коде приложения

Для разовых преобразований этот инструмент идеален; в продакшене декодируйте хорошо протестированной библиотекой (he в Node, собственный парсер браузера через отдельный textarea), а не самописным регулярным выражением, которое регулярно пропускает числовые ссылки, символы астральных плоскостей и устаревшие сущности.

Часто задаваемые вопросы