Échappement / Déséchappement de chaînes

L'échappement ajoute des caractères spéciaux (barres obliques inverses, etc.) pour rendre une chaîne sûre dans un contexte spécifique sans modifier la représentation des données sous-jacentes. Par exemple, une chaîne JSON « He said \"hello\" » échappe les guillemets internes. L'encodage URL (codage en pourcentage) transforme les caractères en séquences %XX — c'est techniquement un encodage, pas seulement un échappement. L'échappement HTML convertit < en &lt; pour qu'il soit traité comme du texte, pas du balisage. Les deux changent la façon dont la chaîne est représentée, mais la valeur décodée/sans échappement reste la même.

L'encodage URL (codage en pourcentage) est pour les chaînes de requête et les segments de chemin URL : encodeURIComponent("a b") → "a%20b". Utilisez-le lors de la construction dynamique d'URLs. L'encodage d'entités HTML est pour l'intégration de texte dans le balisage HTML : "<script>" → "&lt;script&gt;". Utilisez-le lors de la sortie de contenu fourni par l'utilisateur dans HTML (pour prévenir XSS). L'échappement JSON est pour l'intégration de chaînes dans les charges JSON ou le code JavaScript. Chacun a son propre contexte — utiliser le mauvais est un risque de sécurité.

JavaScript et C utilisent des échappements de barres obliques inverses dans les littéraux de chaîne : \n (nouvelle ligne), \t (tabulation), \r (retour à la ligne), \\ (barre oblique inverse littérale), \" (guillemet double), \' (guillemet simple), \0 (octet nul), \uXXXX (point de code Unicode). Cet échappement est nécessaire lors de l'intégration d'une chaîne dans le code source. Par exemple, si vous avez une chaîne contenant une nouvelle ligne, en JSON elle est représentée comme \n, dans un littéral de chaîne JS également comme \n.

L'échappement SQL remplace les guillemets simples (délimiteur de chaîne en SQL) par des guillemets simples doublés (''). Par exemple, O'Brien devient O''Brien dans une chaîne SQL. Cela prévient l'injection SQL mais n'est PAS un substitut aux requêtes paramétrées — utilisez plutôt les déclarations préparées. Cet outil montre à quoi ressemble la sortie échappée SQL, mais préférez toujours les requêtes paramétrées dans le code de production : INSERT INTO users (name) VALUES ($1) avec la valeur passée séparément.

L'échappement d'expression régulière ajoute des barres obliques inverses avant les caractères ayant une signification spéciale dans les motifs regex : . * + ? ^ $ { } [ ] ( ) | \. Par exemple, la chaîne « 1.0 » comme motif regex correspond à « 1X0 » (le point correspond à tout caractère). Échappée : « 1\.0 » ne correspond qu'à la chaîne littérale « 1.0 ». Utilisez l'échappement regex lors de la construction de motifs regex à partir de l'entrée utilisateur : new RegExp(escapeRegExp(userInput)).