Escapar i desescapar cadenes

Com escapar o desescapar una cadena

1. Tria la destinació a Format: cadena JSON, cadena JavaScript, plantilla literal JavaScript, literal de cadena SQL, camp CSV, valor d’atribut HTML, expressió regular o component d’URL.
2. Escriu o enganxa el text al quadre d’entrada.
3. Fes clic a Escapa per convertir text net en un literal segur, o a Desescapa per tornar un literal a text net. El resultat s’actualitza mentre escrius, en la direcció que has triat per últim cop.
4. Ajusta les opcions que es mostren per al format: Afegeix cometes al voltant, Escapa els caràcters no ASCII o Espais com a + (dades de formulari).
5. Fes clic a Copia, o a Fes servir la sortida com a entrada per invertir l’operació i comprovar el recorregut d’anada i tornada.

El recompte de caràcters d’abans i d’après es mostra sota els botons. Tot s’executa al teu navegador; no es puja res.

Què fa cada format

• Cadena JSON: escapa ", \ i els caràcters de control (\n, \t, \u0000…), exactament com JSON.stringify. Amb Escapa els caràcters no ASCII, cada caràcter per sobre d’U+007E es converteix en \uXXXX (els emojis es converteixen en un parell de substituts, com 😀). En desescapar s’accepta el text amb o sense les cometes dobles, i es toleren els salts de línia directes.
• Cadena JavaScript (‘…’): escapa la barra invertida, la cometa simple, els salts de línia i els caràcters de control, a més d’U+2028 i U+2029, que trenquen els motors més antics. En desescapar s’entenen \x41, A, \u{1F600}, els escapaments octals antics com \101 i les continuacions de línia.
• Plantilla literal JavaScript (`…`): escapa els accents oberts, les barres invertides i ${ perquè no s’avaluï cap expressió; els salts de línia i els tabuladors es mantenen tal com són, ja que les plantilles literals els permeten.
• Literal de cadena SQL (‘…’): dobla les cometes simples (O'Brien → 'O''Brien'), com a l’SQL estàndard. En desescapar es rebutja una cometa que no estigui doblada. Les barres invertides es deixen tal com són: MySQL, en el seu mode per defecte, també tracta \ com a caràcter d’escapament, de manera que consulta les regles de la teva base de dades.
• Camp CSV (RFC 4180): envolta el camp amb cometes dobles i dobla les cometes interiors quan conté una coma, un punt i coma, un tabulador, una cometa, un salt de línia o un espai al principi o al final. Afegeix cometes al voltant força les cometes.
• Valor d’atribut HTML: substitueix &, <, >, " i ' per entitats, cosa que és segura tant en atributs amb cometes simples com amb cometes dobles. En desescapar es descodifiquen les referències numèriques i &, <, >, ", ' i  .
• Expressió regular (text literal): escapa amb barra invertida . * + ? ^ $ { } ( ) | [ ] \ /, a més dels salts de línia i els tabuladors, de manera que el patró reconegui el text literalment. El resultat és vàlid amb o sense l’indicador u.
• Component d’URL (codificació percentual): funciona com encodeURIComponent, codificant com a bytes UTF-8 tot excepte lletres, xifres i - _ . ! ~ * ' ( ). Espais com a + (dades de formulari) utilitza la convenció application/x-www-form-urlencoded.

Escapar no és una barrera de seguretat per a SQL

Quan tries SQL, l’eina mostra un recordatori que val la pena repetir: la solució real contra la injecció SQL és una consulta parametritzada (sentència preparada), on el valor s’envia per separat del text SQL. Escapar a mà és fràgil: depèn de la base de dades, del joc de caràcters de la connexió i de configuracions com el tractament de la barra invertida de MySQL. Fes servir aquesta sortida per llegir registres, escriure dades de prova o depurar una consulta, mai per construir consultes a partir de dades de l’usuari.

Per a CSV, l’eina també avisa quan un valor comença amb =, +, - o @: un full de càlcul el pot executar com una fórmula (injecció CSV). Posar cometes no ho evita; la mitigació habitual és prefixar el valor amb un apòstrof o un espai.