لغة ترميز النص التشعبي ، أو HTML ، هي اللغة الأساسية لصفحات الويب على الإنترنت. يتضمن دعمًا لعدد من اللغات الأخرى التي تضيف وظائف وأنماط إضافية مثل JavaScript و CSS. كل هذه اللغات تعتمد على النص مع بعض الأحرف ذات المعنى المستخدمة لفصل السلاسل الحرفية التي يجب طباعتها على المتصفح والرمز الذي يجب تفسيره وتنفيذه.
يحتوي هذا التصميم على بعض المشكلات ، إلا أنها تصبح واضحة عندما تريد طباعة أحد الأحرف ذات المعنى إلى المتصفح. أفضل مثال على الأحرف لاستخدامه هو الرمزان "أقل من" و "أكبر من". يتم استخدام هذه الرموز على التوالي لفتح وإغلاق أجزاء التعليمات البرمجية في HTML. الطريقة الصحيحة لطباعة هذه الأحرف على الشاشة بأمان هي استخدام كيانات HTML.
كيانات HTML والأمان
بفضل هذه الأحرف التي لها معنى خاص ، يجب أن تكون حريصًا حقًا للتأكد من استبدالها بإصدار كيان HTML إذا كنت تريد طباعتها في المتصفح. لسوء الحظ ، ينسى العديد من مطوري الويب أنه يمكن للمستخدمين إرسال مدخلات إلى العديد من مواقع الويب. إذا تضمن إدخال المستخدم هذا أحرفًا ذات معنى ولم يتم استبدالها بكيانات HTML ، في عملية تسمى التطهير ، فإن موقع الويب به ثغرة أمنية في البرمجة النصية عبر المواقع (XSS).
نصيحة: لا تحاول إرسال أحرف خاصة إلى مواقع الويب في محاولة للعثور على ثغرات XSS. يعد القيام بذلك اختراقًا تقنيًا ويعتبر جريمة جنائية ما لم تحصل على إذن من مالك موقع الويب.
كيف تعمل كيانات HTML (وأحيانًا لا تعمل)
تعمل كيانات HTML لأن المتصفح يعرف كيفية عرضها على أنها الحرف الخاص ذي الصلة ولا يتعامل معها كحرف خاص. تبدأ جميع كيانات HTML بعلامة العطف "&" وتنتهي بفاصلة منقوطة "؛". يتم تحديد معظم الأحرف برقم الكيان على الرغم من أن بعض الأحرف الخاصة لها اسم مختصر أيضًا. على سبيل المثال ، تحتوي "&" و "" على أرقام الكيانات "&" و "" بالإضافة إلى أسماء الكيانات "&" و "" على التوالي. يعرف المتصفح أن هذه السلاسل تعني أنه يحتاج إلى عرض الأحرف ذات الصلة.
نصيحة: يمكن العثور على قائمة كاملة بأسماء كيانات الشخصيات هنا، على الرغم من أن دعم اسم الكيان يختلف باختلاف المتصفح.
في معظم الحالات ، يجب أن يرى المستخدمون فقط الأحرف التي تمثلها كيانات HTML. ومع ذلك ، من الممكن رؤية الأحرف المشفرة ، عادةً علامة العطف "&" ، من خلال عملية تسمى "التشفير المزدوج". يحدث هذا عندما يظهر حرف العطف في نسخته المشفرة. يحدث الترميز المزدوج بشكل عام عندما يتم ترميز الإدخال بشكل صحيح ، كما تم إرساله ، ومع ذلك ، عندما يتم إخراجها يتم تطهيرها مرة أخرى. ينتج عن هذا علامة العطف في بداية "&" يتم ترميزها مرة ثانية وتظهر كـ "&" ، ثم المتصفح يفسر ذلك بشكل صحيح كسلسلة يجب طباعتها على أنها "&" بعد فك شفرة HTML وتجاهل الجزء الجزئي شخصية.