Was ist der Unterschied zwischen benannten, dezimalen und Hex-Entities?+−
Es sind drei Schreibweisen für dasselbe Zeichen. Benannte Entities wie © sind am besten lesbar, existieren aber nur für ein paar Hundert gängige Zeichen. Dezimale (©) und Hex-Entities (©) funktionieren für jedes Unicode-Zeichen über seinen Codepunkt und sind gleichwertig - nur mit unterschiedlicher Basis.
Muss ich jedes Zeichen maskieren oder nur einige?+−
Aus Sicherheitsgründen müssen nur & < > " ' maskiert werden - das sind die Zeichen, denen HTML eine besondere Bedeutung gibt. Alles andere zu maskieren (Buchstaben mit Akzent, Symbole, Emoji) ist optional und meist nur nötig, wenn Sie speziell reine ASCII-Ausgabe brauchen, etwa für ein älteres System, das Nicht-ASCII-Text falsch verarbeitet.
Kann das Dekodieren Text beschädigen, der gar keine Entity ist?+−
Nein - ein kaufmännisches Und, das nicht Teil eines erkannten Entity-Musters ist (wie in einem bloßen „AT&T“), bleibt unverändert, und ein unbekannter Entity-Name bleibt ebenfalls unverändert, statt geraten oder entfernt zu werden.