免费 HTML 实体解码器 — 解码 HTML

什么是 HTML 实体解码？

// Decoding is the inverse of escaping. The classic round-trip:
//   &lt;  →  <     &gt;  →  >     &amp;  →  &     &quot;  →  "     &#x27;  →  '

// Browser — the safest decoder is the platform itself. Use textarea, NOT innerHTML on a live node,
// so the decoded markup is never executed.
function decodeHtml(str) {
  const ta = document.createElement('textarea');
  ta.innerHTML = str;        // the parser resolves entities into text
  return ta.value;           // .value is plain text — no script runs
}

decodeHtml('&lt;div&gt; &amp; &copy;');   // → '<div> & ©'
decodeHtml('&#60;&#x3E;');                // → '<>'
decodeHtml('&#x1F600;');                 // → '😀'
decodeHtml('&copy 2026');                // → '© 2026'  (lenient, no semicolon)

// ---------------------------------------------------------------
// SECURITY: decoded text is unescaped. Never do this with untrusted input:
//   el.innerHTML = decodeHtml(userInput);   // ❌ reopens the XSS hole
// If the decoded value must be displayed, re-escape it in its destination context first,
// or assign it as text:
//   el.textContent = decodeHtml(userInput); // ✅ shown as literal text

// ---------------------------------------------------------------
// Node.js (no DOM) — use a tested library such as he:
//   import { decode } from 'he';
//   decode('&lt;div&gt; &amp; &copy;');     // → '<div> & ©'

核心功能

实例演示

<div> & ©

<div> & ©

<>

<>

&copy 2026

© 2026

😀

😀

<a href="x">Tom & Jerry's</a>

<a href="x">Tom & Jerry's</a>

如何使用 HTML 实体解码器

1. 1

   粘贴转义后的字符串

   把充满 HTML 实体的文本放入输入框。解码后的字符会随你键入实时更新——没有提交按钮，也不会把任何内容发送到任何地方。

2. 2

   读取解码结果

   命名、十进制和十六进制引用都会自动解析为它们所代表的字符，包括表情符号和其他星形平面码点。无需选择格式——解码器会检测每个引用的类型。

3. 3

   复制解码后的文本

   点击「复制」把恢复出的字符放入剪贴板，随时可粘贴到编辑器、数据库或另一个工具中。「清空」会重置两个面板以处理下一个字符串。

4. 4

   重新显示不受信任的文本前先重新转义

   如果解码后的输出将被渲染回网页，且其中任何内容来自不受信任的来源，请先用编码器再次转义它，以避免重新打开 XSS 漏洞。

5. 5

   需要编码？切换方向

   当你想把原始字符变成实体时，使用「切换方向」切换到 HTML 实体编码器。

常见 HTML 解码错误

el.innerHTML = decode(userInput)  →  script runs (XSS)

el.textContent = decode(userInput)  →  shown as text

<  decoded once  →  <  (still an entity)

&amp;lt;  decoded twice  →  <

HTML-decode "%3Cdiv%3E"  →  unchanged, still percent-encoded

URL-decode "%3Cdiv%3E"  →  <div>

regex for &name; only  →  😀 left undecoded

full decoder  →  😀 becomes 😀

decoded é into a Latin-1 file  →  é mojibake

decoded é into a UTF-8 file  →  é

strict parse of "&copy 2026"  →  &copy 2026 literal

lenient parse of "&copy 2026"  →  © 2026

谁在使用本工具

阅读以转义形式存储的标记

从数据库、日志或 JSON 字段里取出了一段被保存为 <div>… 的 HTML 片段？解码它，去看到并编辑真实标记，而不是对着一墙实体眯眼。

调试二次编码的文本

在本该是 < 的活页面上看到 &lt;？把它粘到这里确认它被二次编码了，解码两次以恢复原文，并把重复转义追溯回你管道里的源头。

从 HTML 片段提取纯文本

需要从转义后的邮件正文或 CMS 字段里取出人类可读的文本？在你索引、搜索或在别处显示内容之前，解码实体以恢复实际字符。

从抓取或导出的数据中恢复字符

导出和抓取常常交付带有完整实体的内容。把 &、é 之类变回它们的字符，让数据在进入你自己的系统之前干净整洁。

验证编码器的输出能否往返

用编码器转义一段字符串后，在这里解码它，确认你能原样拿回原文。一次干净的往返证明你的转义是正确且可逆的。

解开一个神秘实体

卡在 ™ 或 … 究竟是什么上？把它粘进来读出解码后的字符，或查阅内置速查表——无需记忆实体表。

安全地解码旧式标记

在处理不一致地使用像 &copy 或 &nbsp 这种无分号实体的旧 HTML？宽松解码器会像真实浏览器那样恢复出预期字符，因此你的清理与用户实际看到的一致。

解码器如何工作

解析全部三种引用形式

解码器将命名引用与完整的 HTML5 命名字符表匹配，把十进制引用（&#NNN;）解析为以 10 为底的码点，把十六进制引用（&#xHHH;）解析为以 16 为底的码点。每个都解析为其 Unicode 字符；三种形式在输入上可以互换。

星形平面重建

码点超过 U+FFFF 的数字引用——大多数表情符号和许多符号——会被转换为正确的代理对，因此字符渲染为单个字形。😀 变成 😀，而非两个损坏的半字符。

宽松的旧式实体处理

一组定义好的命名实体在历史上不带结尾分号出现，浏览器仍会解析它们。解码器镜像了这一行为——&copy 2026 产出 © 2026——与真实浏览器的渲染一致，而非严格的 XML 解析器。

对纯文本幂等

不属于已识别引用的字符，包括输入中已有的原始非 ASCII 文本，都原样通过。解码一段没有实体的字符串会原样返回它，因此这个操作可以安全地在混合内容上运行。

解码后的输出是未转义的

解码是 XSS 保护性转义的逆操作，所以结果又成了活的标记。工具会把这一点显露出来，以便你不会把不受信任的解码文本用 innerHTML 插入页面——在渲染前先在其目标上下文中重新转义它。

浏览器本地，零网络

解码在主线程上以 JavaScript 同步运行；没有 API 调用、没有服务器往返、没有持久化。输入永不离开页面，你可以在键入时观察空空的 Network 面板来确认。

HTML 反转义最佳实践

绝不直接渲染解码后的不受信任文本

解码后的输出是未转义的标记。如果其中任何内容来自用户或外部来源，请在把它插入页面前重新转义，或通过 textContent 而非 innerHTML 赋值。跳过这一步会重新打开转义本应封堵的跨站脚本漏洞。

按编码的相反顺序解码

一个值可能先被 HTML 编码，再 URL 编码，再 Base64 编码。按它们被应用的相反顺序撤销这些层——并为每一层使用匹配的工具：实体用本工具，百分号编码用 URL 解码器，base64 用 Base64 工具。

解码一次，不要反射式地解

如果一次解码后仍留有像 < 这样可见的实体，说明输入被二次编码了——再解码一次以恢复原文，然后修复上游管道，让文本精确转义一次。不要盲目循环；要弄清那多出来的一层为何存在。

以 UTF-8 提供结果

解码数字引用会产生真实的 Unicode 字符——重音、符号、表情符号。请确保接收解码文本的页面、文件或字段是 UTF-8，否则那些恢复出的字符会显示为乱码。

在应用代码中优先使用经过测试的库

对于一次性转换，本工具很理想；在生产环境中，请用经过充分测试的库解码（Node 中用 he，浏览器自身的解析器通过游离的 textarea），而非手写正则，后者常常漏掉数字引用、星形字符和旧式实体。

常见问题