UD5工具箱
什么是XSS防护？本工具如何帮助防护？
XSS（跨站脚本攻击）是指攻击者在网页中注入恶意脚本代码的安全漏洞。本工具内置XSS防护检测引擎，能够自动识别输入文本中的script标签、事件处理器（如onclick、onerror）、危险函数（如alert、eval、document.cookie）以及javascript协议处理器等常见攻击向量。检测到风险项时会以醒目标识提示用户，帮助开发者在将用户输入嵌入HTML或JavaScript上下文之前进行安全审查。请注意，本工具的检测功能仅为辅助手段，实际项目中应结合内容安全策略（CSP）和服务器端输入验证构建多层防御体系。
URL转义和HTML转义有什么区别？什么时候该用哪个？
URL转义和HTML转义服务于完全不同的目的。URL转义（百分号编码）用于将字符安全地嵌入URL中，遵循RFC 3986标准，将特殊字符转换为%加两位十六进制格式，例如空格编码为%20。HTML转义（实体编码）用于将特殊字符安全地嵌入HTML文档内容中，将<、>、&等字符转换为对应的实体引用，例如<转换为<。选择哪种方式取决于使用场景：当构建URL查询字符串或处理表单提交数据时使用URL转义；当在HTML页面中显示用户输入的文本时使用HTML转义。两者不可互换，混用会导致数据显示异常或安全漏洞。
转义操作是可逆的吗？能否保证往返一致性？
是的，本工具对所有五种编码模式均保证转义操作的可逆性。您可以在「转义」得到编码结果后，使用「反转义」功能将编码文本还原为原始内容，且结果与原文完全一致。这一往返可逆性（Round-Trip Integrity）是衡量转义工具可靠性的重要指标。工具内部会对编码序列进行严格的格式验证，如果输入的编码格式不完整或包含无效序列（如不完整的Unicode转义），会给出明确的错误提示而非静默失败。
五种编码模式分别适用于哪些具体场景？
五种模式各有明确的适用场景：HTML实体编码适用于在HTML页面中安全显示用户输入的文本，防止XSS攻击；URL百分号编码适用于构建URL查询参数、处理表单数据和编码API请求参数；JavaScript转义适用于在JavaScript代码中动态生成包含特殊字符的字符串，如内联事件处理或模板拼接；JSON字符串转义适用于构建JSON格式的API请求体和响应体，确保特殊字符不会破坏JSON结构；Unicode编码适用于处理跨平台文本兼容性问题、生成国际化资源文件或处理无法直接表示的特殊字符。在实际开发中，通常需要根据数据的目标上下文来选择正确的编码模式。
什么是UTF-16代理对？工具如何处理emoji等补充平面字符？
UTF-16代理对是UTF-16编码方案中用于表示Unicode补充平面字符（码点范围U+10000至U+10FFFF）的机制。由于UTF-16的基本多语言平面（BMP）仅能直接表示U+0000至U+FFFF的字符，对于emoji表情（如U+1F600）、CJK扩展汉字等超大码点字符，需要将其拆分为两个16位编码单元：高代理项（U+D800至U+DBFF）和低代理项（U+DC00至U+DFFF）。例如，笑脸emoji（U+1F600）被编码为\\uD83D\\uDE00。本工具在JavaScript转义和Unicode编码模式下均正确处理代理对，反转义时能够完整还原为原始字符，确保涉及emoji等特殊字符的文本在转义往返过程中不丢失或变形。
使用本工具时，数据是否会被上传到服务器？
不会。本工具的所有转义和反转义操作均完全在用户浏览器本地执行，不涉及任何网络请求或数据上传。这意味着即使您处理的是包含敏感信息的数据（如API密钥、个人身份信息、内部配置等），也可以放心使用本工具进行编码转换，无需担心数据泄露风险。这一设计原则使本工具特别适合处理敏感业务数据和进行安全审计工作。