String escapen und unescapen

So escapen oder unescapen Sie einen String

1. Wählen Sie das Ziel unter „Format“: JSON-String, JavaScript-String, JavaScript-Template-Literal, SQL-Zeichenkettenliteral, CSV-Feld, HTML-Attributwert, regulärer Ausdruck oder URL-Komponente.
2. Geben Sie Ihren Text in das Eingabefeld ein oder fügen Sie ihn ein.
3. Klicken Sie auf „Escapen“, um einfachen Text in ein sicheres Literal umzuwandeln, oder auf „Unescapen“, um ein Literal wieder in einfachen Text zu verwandeln. Das Ergebnis aktualisiert sich während der Eingabe, in der zuletzt gewählten Richtung.
4. Passen Sie die Optionen an, die für das Format angezeigt werden: „Anführungszeichen hinzufügen“, „Nicht-ASCII-Zeichen escapen“ oder „Leerzeichen als + (Formulardaten)“.
5. Klicken Sie auf „Kopieren“ oder auf „Ergebnis als Eingabe verwenden“, um die Umwandlung umzukehren und den Hin- und Rückweg zu prüfen.

Die Zeichenzahl vorher und nachher steht unter den Schaltflächen. Alles läuft in Ihrem Browser, nichts wird hochgeladen.

Was die einzelnen Formate machen

• JSON-String: maskiert ", \ und Steuerzeichen (\n, \t, \u0000 …), genau wie JSON.stringify. Mit „Nicht-ASCII-Zeichen escapen“ wird jedes Zeichen oberhalb von U+007E zu \uXXXX (Emojis werden zu einem Surrogatpaar wie \ud83d\ude00). Beim Unescapen wird der Text mit oder ohne umschließende doppelte Anführungszeichen akzeptiert, rohe Zeilenumbrüche werden toleriert.
• JavaScript-String (‘…’): maskiert Backslash, einfaches Anführungszeichen, Zeilenumbrüche und Steuerzeichen sowie U+2028 und U+2029, die ältere Engines aus dem Tritt bringen. Beim Unescapen werden \x41, \u0041, \u{1F600}, veraltete Oktal-Escapes wie \101 und Zeilenfortsetzungen verstanden.
• JavaScript-Template-Literal (`…`): maskiert Backticks, Backslashes und ${, damit kein Ausdruck ausgewertet wird; Zeilenumbrüche und Tabulatoren bleiben erhalten, da Template-Literale sie erlauben.
• SQL-Zeichenkettenliteral (‘…’): verdoppelt einfache Anführungszeichen (O'Brien → 'O''Brien'), wie in Standard-SQL. Beim Unescapen wird ein nicht verdoppeltes Anführungszeichen abgelehnt. Backslashes bleiben unverändert: MySQL behandelt \ im Standardmodus ebenfalls als Escape-Zeichen – prüfen Sie also die Regeln Ihrer Datenbank.
• CSV-Feld (RFC 4180): setzt das Feld in doppelte Anführungszeichen und verdoppelt innere Anführungszeichen, wenn es ein Komma, Semikolon, Tabulatorzeichen, Anführungszeichen, einen Zeilenumbruch oder führende bzw. nachgestellte Leerzeichen enthält. „Anführungszeichen hinzufügen“ erzwingt die Anführungszeichen.
• HTML-Attributwert: ersetzt &, <, >, " und ' durch Entitäten – sicher in Attributen mit einfachen wie mit doppelten Anführungszeichen. Beim Unescapen werden numerische Referenzen sowie &, <, >, ", ' und   dekodiert.
• Regulärer Ausdruck (wörtlicher Text): maskiert . * + ? ^ $ { } ( ) | [ ] \ / sowie Zeilenumbrüche und Tabulatoren mit einem Backslash, sodass das Muster den Text wörtlich findet. Das Ergebnis ist mit und ohne Flag u gültig.
• URL-Komponente (Prozentkodierung): arbeitet wie encodeURIComponent und kodiert alles außer Buchstaben, Ziffern und - _ . ! ~ * ' ( ) als UTF-8-Bytes. „Leerzeichen als + (Formulardaten)“ nutzt die Konvention von application/x-www-form-urlencoded.

Escapen ist kein Schutz vor SQL-Injection

Wenn Sie SQL wählen, zeigt das Tool einen Hinweis, und der verdient es, wiederholt zu werden: Die eigentliche Abhilfe gegen SQL-Injection ist eine parametrisierte Abfrage (Prepared Statement), bei der der Wert getrennt vom SQL-Text übertragen wird. Manuelles Escapen ist fehleranfällig: Es hängt von der Datenbank, vom Zeichensatz der Verbindung und von Einstellungen wie der Backslash-Behandlung in MySQL ab. Nutzen Sie dieses Ergebnis, um Logs zu lesen, Testdaten zu schreiben oder eine Abfrage zu debuggen – niemals, um Abfragen aus Benutzereingaben zusammenzubauen.

Bei CSV warnt das Tool außerdem, wenn ein Wert mit =, +, - oder @ beginnt: Eine Tabellenkalkulation könnte ihn als Formel ausführen (CSV-Injection). Anführungszeichen verhindern das nicht; üblicherweise stellt man dem Wert ein Apostroph oder ein Leerzeichen voran.