String Escaper — Escape e unescape de strings

O que o String Escaper faz

O String Escaper converte texto para e a partir das formas com escape usadas em cinco contextos comuns. O escape JSON envolve o texto como um literal de string JSON válido, codificando aspas, barras invertidas e caracteres de controle como quebra de linha e tabulação. O escape JavaScript faz o mesmo para código-fonte e ainda trata aspas simples e crases, de modo que o resultado fique seguro dentro de qualquer delimitador de string do JavaScript. O escape HTML substitui os caracteres reservados &, <, > e as aspas por suas entidades, para que o texto seja exibido como dado e não como marcação. O escape de URL aplica codificação percentual a um valor para uso em uma query string ou em um segmento de caminho, e o escape com barra invertida trata as sequências genéricas \n, \t, \r e \\ encontradas em muitos formatos de configuração e de log.

Todos os formatos funcionam nos dois sentidos. O escape prepara um valor bruto para ser incorporado, e o unescape recupera o texto original a partir de uma string já codificada, o que é útil quando você copia um valor de um payload JSON, de um atributo HTML, de uma URL ou de um stack trace e quer lê-lo em texto simples. Alternar entre os cinco formatos em um único controle facilita aplicar a um trecho a transformação exata que um contexto exige, sem precisar procurar outra ferramenta.

Fluxo de trabalho privado no navegador

Todo o escape e unescape acontece dentro do seu navegador, com JavaScript do lado do cliente. A ferramenta não envia seus textos, tokens, URLs, marcações ou trechos de log a nenhum servidor e não exige conta. Esse modelo exclusivamente local é importante porque as strings coladas em um escapador costumam ser valores reais retirados de dados de produção enquanto se investiga um bug de codificação. Manter o trabalho no seu computador reduz o risco e torna a saída instantânea, pois nada sai da página entre a entrada e o resultado.

A interface mantém o seletor de formato, a entrada e a saída próximos, para que você verifique a transformação antes de copiá-la. Mesmo assim, os resultados devem ser revisados no contexto: o escape correto depende exatamente de onde o valor será colocado, e uma string segura em uma posição, como um nó de texto HTML, pode exigir tratamento diferente em outra, como um atributo, um bloco de script ou uma URL.

Dicas práticas

Escolha o formato pelo destino, não pela origem: o texto que vai para um arquivo JSON precisa de escape JSON, um valor para uma query string precisa de escape de URL e o conteúdo exibido em uma página precisa de escape HTML. Tenha cuidado ao encadear contextos — um valor que vai parar dentro de uma tag script em HTML pode exigir tanto escape JavaScript quanto HTML — porque aplicar apenas um deixa um risco de injeção. Ao fazer unescape, confirme que a entrada realmente usa o formato selecionado, pois formatos incompatíveis podem gerar silenciosamente uma saída enganosa. Para saídas sensíveis do ponto de vista de segurança, prefira os codificadores integrados do seu framework, que entendem todo o contexto, e use esta ferramenta para inspeção, preparação e correções rápidas.