HTML 实体编码 &#039

&#039 是 HTML 实体编码，表示 单引号（'）。它通常出现在以下场景：

1. 为什么会出现 &#039？

• HTML 转义：当单引号在 HTML 属性或文本中被转义时，会变成 &#039（防止 XSS 攻击或解析错误）。

  <!-- 原始文本 -->
  <div title="It's a test">示例</div>
  
  <!-- 转义后（可能由框架或安全策略自动处理） -->
  <div title="It&#039;s a test">示例</div>
  

• 数据库或代码生成：某些系统（如 Java、PHP）在输出到 HTML 时会自动转义特殊字符。

2. 如何处理 &#039？

（1）在前端显示为正常单引号

• HTML 自动解析：浏览器会自动将 &#039 渲染为 '，无需额外处理。
• 手动替换（JavaScript）：

  const text = "It's a test";
  const decodedText = text.replace(/'/g, "'");
  console.log(decodedText); // 输出: It's a test
  

（2）在代码中避免转义问题

• 后端处理：

  • Java（Spring）：使用 @ResponseBody 或 Thymeleaf 的 th:utext 禁用转义。
  • PHP：用 htmlspecialchars_decode() 反转义：

    $text = "It's a test";
    echo htmlspecialchars_decode($text); // 输出: It's a test
    

• 前端框架：

  • React/Vue：使用 dangerouslySetInnerHTML 或 v-html（需谨慎防止 XSS）。

    // React 示例（不推荐，仅演示）
    function Component() {
      const text = "It's a test";
      return <div dangerouslySetInnerHTML={{ __html: text.replace(/&#039;/g, "'") }} />;
    }
    

3. 常见相关实体编码

4. 最佳实践

• 统一转义策略：前后端约定是否转义，避免双重转义（如 ' 被再次转义为 '）。
• 安全防护：直接输出用户输入时，始终转义（如 & → &），防止 XSS 攻击。
• 调试技巧：用浏览器开发者工具检查最终渲染的 DOM，确认字符是否正确显示。