Escape & Unescape de String — JSON, XML, HTML, SQL, URL
O que o escape faz?
Cada formato baseado em texto tem caracteres com significado reservado — aspas no JSON, sinais de menor e maior no HTML e XML, aspas simples em literais SQL, sinal de porcentagem em URLs. O escape substitui esses caracteres por equivalentes seguros para que a string seja tratada como dado, não interpretada como marcação ou sintaxe. Escolher o formato errado de escape é por onde bugs e vulnerabilidades de injection entram.
Como usar
- Escolha Escape ou Unescape.
- Selecione o formato de destino: JSON, XML, HTML, SQL ou URL.
- Digite ou cole sua string — a conversão acontece em tempo real.
- Aperte Exemplo para carregar uma amostra específica do formato.
- Aperte Trocar para passar a saída de volta para a entrada.
Perguntas Frequentes
Qual formato devo escolher?
Escolha o formato conforme o destino do texto. Vai colocar um valor num payload JSON? Use JSON. Dentro de um atributo XML? Use XML. Exibir numa página HTML? Use HTML. Montar um literal SQL (só quando não dá para usar consultas parametrizadas)? Use SQL. Enviar como parâmetro de consulta numa URL? Use URL.
Qual a diferença entre escape de JSON e de HTML?
O JSON escapa caracteres que quebram a sintaxe JSON (aspas, barras invertidas, caracteres de controle) com sequências como \" e \n. O HTML escapa caracteres que seriam lidos como marcação (<, >, & e aspas) com entidades como < e &. Um não substitui o outro: colar texto escapado para JSON dentro do HTML ainda deixa você exposto a XSS.
Escapar SQL basta para evitar SQL injection?
Não. O escape de SQL (duplicar aspas simples, escapar barras invertidas) cobre os casos comuns, mas os bancos diferem em casos-limite como codificação, sintaxe de comentários e bytes NULL. Consultas parametrizadas (prepared statements) são a única defesa confiável. Use esta ferramenta para inspecionar ou montar literais durante o desenvolvimento, não como proteção em produção.
Por que o modo de escape JSON deixa a entrada em uma linha só?
O escape JSON gera o conteúdo de um valor string JSON: quebras de linha viram \n, tabs viram \t e aspas viram \". O resultado é o que vai entre as aspas duplas de uma string JSON. Se quiser o literal completo, coloque as aspas em volta do resultado.
A ferramenta envia meus dados para um servidor?
Não. Todas as conversões de escape e unescape rodam no seu navegador com JavaScript. Sua entrada nunca sai do seu dispositivo.