Escape și unescape pentru șiruri

Cum aplici sau anulezi escape-ul unui șir

1. Alege ținta în Format: șir JSON, șir JavaScript, șablon literal JavaScript, literal șir SQL, câmp CSV, valoare de atribut HTML, expresie regulată sau componentă URL.
2. Scrie sau lipește textul în caseta de intrare.
3. Apasă Escape ca să transformi textul simplu într-un literal sigur sau Unescape ca să transformi un literal înapoi în text simplu. Rezultatul se actualizează pe măsură ce scrii, în direcția aleasă ultima dată.
4. Reglează opțiunile afișate pentru format: Adaugă ghilimele în jur, Escape pentru caracterele non-ASCII sau Spații ca + (date de formular).
5. Apasă Copiază sau Folosește rezultatul ca intrare ca să inversezi operația și să verifici dus-întorsul.

Numărul de caractere înainte și după este afișat sub butoane. Totul rulează în browserul tău; nimic nu este încărcat.

Ce face fiecare format

• Șir JSON: aplică escape pentru ", \ și caracterele de control (\n, \t, \u0000…), exact ca JSON.stringify. Cu Escape pentru caracterele non-ASCII, fiecare caracter peste U+007E devine \uXXXX (emoji devin o pereche surogat, cum ar fi 😀). Unescape acceptă textul cu sau fără ghilimelele duble și tolerează rupturile de rând brute.
• Șir JavaScript (‘…’): aplică escape pentru bara oblică inversă, ghilimeaua simplă, rupturile de rând și caracterele de control, plus U+2028 și U+2029, care strică motoarele mai vechi. Unescape înțelege \x41, A, \u{1F600}, secvențe octale vechi precum \101 și continuările de linie.
• Șablon literal JavaScript (`…`): aplică escape pentru backticks, bare oblice inverse și ${, astfel încât nicio expresie să nu fie evaluată; rupturile de rând și tabulatoarele rămân ca atare, deoarece șabloanele literale le permit.
• Literal șir SQL (‘…’): dublează ghilimelele simple (O'Brien → 'O''Brien'), ca în SQL standard. Unescape refuză o ghilimea care nu este dublată. Barele oblice inverse sunt lăsate neatinse: MySQL în modul implicit tratează și \ drept caracter de escape, deci verifică regulile bazei tale de date.
• Câmp CSV (RFC 4180): pune câmpul între ghilimele duble și dublează ghilimelele interioare când conține virgulă, punct și virgulă, tabulator, ghilimea, ruptură de rând sau spațiu la început ori la sfârșit. Adaugă ghilimele în jur forțează ghilimelele.
• Valoare de atribut HTML: înlocuiește &, <, >, " și ' cu entități, ceea ce este sigur atât în atribute cu ghilimele simple, cât și duble. Unescape decodează referințele numerice și &, <, >, ", ' și  .
• Expresie regulată (text literal): pune bară oblică inversă înaintea caracterelor . * + ? ^ $ { } ( ) | [ ] \ /, plus rupturile de rând și tabulatoarele, astfel încât modelul să potrivească textul literal. Rezultatul este valid cu sau fără fanionul u.
• Componentă URL (codificare procentuală): funcționează ca encodeURIComponent, codificând totul în afară de litere, cifre și - _ . ! ~ * ' ( ) ca octeți UTF-8. Spații ca + (date de formular) folosește convenția application/x-www-form-urlencoded.

Escape-ul nu este o barieră de securitate pentru SQL

Când alegi SQL, instrumentul afișează un memento, iar el merită repetat: remediul real împotriva injecției SQL este o interogare parametrizată (prepared statement), în care valoarea este trimisă separat de textul SQL. Escape-ul manual este fragil: depinde de baza de date, de setul de caractere al conexiunii și de setări precum tratarea barei oblice inverse în MySQL. Folosește acest rezultat ca să citești jurnale, să scrii date de test sau să depanezi o interogare, niciodată ca să construiești interogări din date introduse de utilizatori.

Pentru CSV, instrumentul avertizează și când o valoare începe cu =, +, - sau @: o foaie de calcul o poate rula ca formulă (injecție CSV). Ghilimelele nu previn asta; prefixarea valorii cu un apostrof sau cu un spațiu este remediul obișnuit.