Escapovanie a unescapovanie reťazcov

Ako escapovať alebo unescapovať reťazec

1. V poli Formát vyber cieľ: reťazec JSON, reťazec JavaScriptu, šablónový literál JavaScriptu, reťazcový literál SQL, pole CSV, hodnotu atribútu HTML, regulárny výraz alebo súčasť URL.
2. Napíš alebo vlož text do vstupného poľa.
3. Klikni na Escapovať, ak chceš zmeniť obyčajný text na bezpečný literál, alebo na Unescapovať, ak chceš literál vrátiť na obyčajný text. Výsledok sa aktualizuje počas písania v smere, ktorý si naposledy zvolil.
4. Uprav voľby zobrazené pre daný formát: Pridať okolité úvodzovky, Escapovať znaky mimo ASCII alebo Medzery ako + (údaje formulára).
5. Klikni na Kopírovať alebo na Použiť výstup ako vstup, aby si operáciu obrátil a skontroloval cestu tam a späť.

Počty znakov pred a po sa zobrazujú pod tlačidlami. Všetko beží v tvojom prehliadači; nič sa nenahráva.

Čo robí každý formát

• Reťazec JSON: escapuje ", \ a riadiace znaky (\n, \t, \u0000…), presne ako JSON.stringify. S voľbou Escapovať znaky mimo ASCII sa každý znak nad U+007E zmení na \uXXXX (emoji sa zmenia na pár náhradných znakov, napríklad 😀). Unescapovanie prijíma text s dvojitými úvodzovkami aj bez nich a toleruje surové zalomenia riadkov.
• Reťazec JavaScriptu (‘…’): escapuje spätné lomítko, apostrof, zalomenia riadkov a riadiace znaky, plus U+2028 a U+2029, ktoré kazia staršie enginy. Unescapovanie rozumie \x41, A, \u{1F600}, starým osmičkovým sekvenciám ako \101 a pokračovaniam riadka.
• Šablónový literál JavaScriptu (`…`): escapuje spätné apostrofy, spätné lomítka a ${, aby sa nevyhodnocoval žiadny výraz; zalomenia riadkov a tabulátory zostávajú, keďže ich šablónové literály povoľujú.
• Reťazcový literál SQL (‘…’): zdvojuje apostrofy (O'Brien → 'O''Brien'), ako v štandardnom SQL. Unescapovanie odmietne apostrof, ktorý nie je zdvojený. Spätné lomítka sa nechávajú: MySQL v predvolenom režime považuje \ tiež za escape znak, preto si over pravidlá svojej databázy.
• Pole CSV (RFC 4180): ak pole obsahuje čiarku, bodkočiarku, tabulátor, úvodzovku, zalomenie riadka alebo úvodnú či koncovú medzeru, uzavrie ho do dvojitých úvodzoviek a vnútorné úvodzovky zdvojí. Pridať okolité úvodzovky úvodzovky vynúti.
• Hodnota atribútu HTML: nahradí &, <, >, " a ' entitami, čo je bezpečné v atribútoch s jednoduchými aj dvojitými úvodzovkami. Unescapovanie dekóduje číselné odkazy a &, <, >, ", ' a  .
• Regulárny výraz (doslovný text): escapuje spätným lomítkom . * + ? ^ $ { } ( ) | [ ] \ /, plus zalomenia riadkov a tabulátory, takže vzor zodpovedá textu doslovne. Výsledok je platný s príznakom u aj bez neho.
• Súčasť URL (percentové kódovanie): funguje ako encodeURIComponent a kóduje všetko okrem písmen, číslic a znakov - _ . ! ~ * ' ( ) ako bajty UTF-8. Medzery ako + (údaje formulára) používa konvenciu application/x-www-form-urlencoded.

Escapovanie nie je bezpečnostná hranica pre SQL

Keď zvolíš SQL, nástroj zobrazí pripomienku, ktorú stojí za to zopakovať: skutočným riešením SQL injection je parametrizovaný dopyt (prepared statement), pri ktorom sa hodnota posiela oddelene od textu SQL. Ručné escapovanie je krehké: závisí od databázy, znakovej sady pripojenia a nastavení, ako je spracovanie spätných lomítok v MySQL. Tento výstup používaj na čítanie protokolov, písanie testovacích údajov alebo ladenie dopytu, nikdy nie na zostavovanie dopytov z používateľských údajov.

Pri CSV nástroj tiež upozorní, keď hodnota začína znakom =, +, - alebo @: tabuľkový procesor ju môže spustiť ako vzorec (CSV injection). Úvodzovky tomu nezabránia; obvyklým riešením je pridať pred hodnotu apostrof alebo medzeru.