엔티티 종류가 너무 많은데 다 지원하나요?

HTML5 named entity 1000+개 + 숫자 entity (`A` · `A`) 모두 지원합니다. 일부 legacy MicroSoft `'` 같은 변형은 호환 인식.

이걸로 XSS 가 완전히 막히나요?

5개 위험문자만 escape 합니다 — 충분한 경우가 많지만 attribute 안 / URL / script 영역은 별도 escape 규칙이 필요. 실서비스에서는 DOMPurify / framework escape 우선.

예. 한글·이모지는 entity 변환 대상이 아닙니다. HTML 5 + UTF-8 환경에서는 그대로 두는 게 표준.

예시

<script>alert("yutils")</script>

&lt;script&gt;alert(&quot;yutils&quot;)&lt;/script&gt;

`<`, `>`, `"`, `'`, `&` 5개의 위험문자가 엔티티로 변환됩니다. HTML 에 사용자 입력을 안전하게 삽입할 때 필수.

사용법 / 자주 묻는 질문

Q.엔티티 종류가 너무 많은데 다 지원하나요?: A.HTML5 named entity 1000+개 + 숫자 entity (`A` · `A`) 모두 지원합니다. 일부 legacy MicroSoft `'` 같은 변형은 호환 인식.
Q.이걸로 XSS 가 완전히 막히나요?: A.5개 위험문자만 escape 합니다 — 충분한 경우가 많지만 attribute 안 / URL / script 영역은 별도 escape 규칙이 필요. 실서비스에서는 DOMPurify / framework escape 우선.
Q.한글은 그대로 두나요?: A.예. 한글·이모지는 entity 변환 대상이 아닙니다. HTML 5 + UTF-8 환경에서는 그대로 두는 게 표준.

재미있는 사실

HTML 문서 안에서 안전하게 박아야 할 5개 predefined entity 가 있습니다 — `&`, `<`, `>`, `"`, `'`. 이중 `'` 는 XHTML 부터 정식 — 일반 HTML 4 에서는 정의 안 됐고, HTML5 부터 표준에 들어왔어요.
WHATWG — Named characters
HTML 의 named entity 수가 시대별로 폭증 — HTML 2.0 (1995) 의 33개 → HTML 4.01 의 252개 → HTML5 의 2,231개 (이모티콘·수학 기호 포함). HTML5 의 entity 표는 사실상 영원히 deprecated 안 됨 — 기존 페이지가 깨지면 안 되므로.
Wikipedia — HTML entities
Numeric character reference 는 두 가지 — `©` (10진 = ©) 또는 `©` (16진). Unicode 코드포인트 직접 박는 방식이라 named entity 없어도 모든 유니코드 문자 표현 가능. 이모지도 `😀` 형태로 박을 수 있어요.
MDN — Character reference