Échapper et déséchapper du texte

Un outil pour sept types d’échappement

Un guillemet dans une chaîne, un antislash dans un chemin Windows, un point dans une expression régulière : chacun demande un traitement différent selon la destination du texte. Cette page échappe le texte pour l’intérieur d’une chaîne JSON ou JavaScript, un littéral SQL, une expression régulière, un champ CSV, une commande shell POSIX ou une suite de séquences \u, et inverse chacun d’eux.

Échapper ou déséchapper en quatre étapes

1. Choisissez le format qui correspond à l’endroit où le texte sera utilisé.
2. Choisissez Échapper pour sécuriser un texte simple ou Déséchapper pour ramener une chaîne échappée à du texte.
3. Saisissez ou collez le texte. Le résultat se met à jour en tapant et, pour un échappement invalide, une erreur explique le problème.
4. Appuyez sur Copier ou utilisez le résultat comme entrée suivante pour vérifier le retour à l’original.

Ce que fait chaque format

• JSON : \", \\, \n, \t et \uXXXX pour les caractères de contrôle. Le résultat se place entre les guillemets.
• JavaScript : pareil plus \' et l’accent grave, pour convenir à tout style de chaîne ; \xHH et \u{…} sont relus.
• SQL : une apostrophe devient deux, comme dans O''Brien. Mieux vaut des paramètres que construire des requêtes avec des chaînes.
• Regex : un antislash devant . * + ? ^ $ { } ( ) | [ ] \, pour que le texte se corresponde à lui-même.
• CSV : guillemets doublés et champ entre guillemets quand il contient virgule, guillemet ou saut de ligne.
• Shell : apostrophes simples avec '\'' pour une apostrophe. Le déséchappement lit aussi les chaînes $'…'.
• Unicode : chaque caractère hors ASCII sous la forme \uXXXX, les emoji en paires de substitution.

Échapper n’est pas sécuriser

Échapper une chaîne pour un langage ne la rend pas sûre pour un autre. Le texte placé en HTML demande un échappement HTML, dans une URL un encodage pourcent, et une requête de base de données des paramètres. Utilisez l’outil adapté à la destination du texte et voyez cette page comme une aide pour préparer et lire des chaînes, pas comme une protection contre l’injection.

Rien n’est envoyé ailleurs

La conversion s’exécute dans votre navigateur : les jetons, requêtes et chemins collés restent sur votre appareil.

Foire aux questions (FAQ)