¿Qué es una entidad HTML?

Una entidad HTML (más precisamente, una referencia de carácter) es una forma de escribir un carácter usando una secuencia de escape en lugar del carácter literal. La forma más familiar empieza con & y termina con ;, como < para < o © para ©.

Por qué HTML necesita escape

HTML usa < y > para delimitar etiquetas. Si insertas <script> sin escapar en una página, el navegador puede interpretarlo como marcado. El escape convierte < en < para que el navegador muestre el carácter en lugar de iniciar una etiqueta.

La misma idea aplica a:

• Ampersands (&) — deben escaparse primero para que © no se parsee incorrectamente
• Comillas en atributos — " y ' dentro de valores de atributo
• Símbolos especiales — ©, espacios de no separación, símbolos matemáticos en contenido

Las entidades no son cifrado

Codificar no oculta el significado. Cualquiera puede decodificar Tom & Jerry de vuelta a Tom & Jerry. El objetivo es inserción segura en HTML, no confidencialidad.

Dónde ven entidades los desarrolladores

Fuentes habituales:

• Exportaciones de CMS que escapan HTML para almacenamiento o plantillas de email
• Motores de plantillas del lado del servidor que autoescapan la salida
• Campos JSON o log con fragmentos previamente escapados
• Copiar y pegar desde Word o editores rich-text con comillas tipográficas y símbolos

Decodificar vs renderizar

Decodificar una cadena de entidades produce texto. Renderizar ese texto dentro de HTML es un paso separado. Nunca asumas que decodificar solo hace el contenido seguro para innerHTML.