html解密在线

你右键查看网页源代码，解密看到一堆尖括号、解密属性、解密嵌套标签，解密觉得像密码？解密其实那就是HTML。它没加密，解密只是解密被浏览器翻译成了你看见的图文。所谓“html解密在线”，解密十有八九是解密忽悠。上周我想扒一个网页上的解密数据，搜到个号称能“一键解密HTML”的解密网站，结果传进去一段源码，解密它返回的解密还是那段源码，只不过把<和>换成了实体字符——这算哪门子解密？解密

真正的HTML不需要解密。它天生就是解密明文。你看到<div class="secret">密码是123</div>，浏览器不显示标签，只显示“密码是123”。有人误以为标签是加密层，其实那是描述层。解密工具能做的，顶多是格式化代码、转义字符、或者从混淆的JavaScript里抽HTML片段。比如有些网站把HTML塞进document.write()里，还用了\x3c代替<，这时候需要手动还原。

我试过一个叫“HTML Decrypt Online”的站，界面花哨，输入框下面写着“支持AES、Base64、ROT13”。把一段<p>hello</p>贴进去，选Base64解码，出来一堆乱码。选ROT13，出来<c>uryyb</c>。它根本没搞懂HTML是什么。真正有用的功能只有一个：把<还原成<，把你还原成“你”。这叫HTML实体解码，不叫解密。

那为什么有人搜“html解密在线”？

两种情况。一种是网页被故意混淆——开发者把整个HTML用JavaScript的escape()函数编码，或者用String.fromCharCode()拼出来。你查看源代码只能看到一堆%3C%64%69%76%3E。这时候需要在线工具做URL解码或Unicode还原。另一种更常见：你从某个网站复制了一段代码，粘贴到编辑器里，发现<变成了<，标签失效了。你需要实体解码。

我见过最离谱的案例：一个钓鱼页面把登录表单的HTML用Base64编码后放在data-html属性里，再用JavaScript的atob()解码并写入document.body.innerHTML。你查看源代码，只看到一串字母数字。用“html解密在线”工具做Base64解码，确实能拿到原始HTML。但这已经超出HTML的范畴了，是JS在搞鬼。工具只是碰巧能解Base64而已。

自己动手比在线工具靠谱

浏览器控制台就是最好的“解密器”。按F12，在Console里输入：

document.body.innerHTML

回车。所有被JS动态生成的HTML都现出原形。比任何在线工具都快。再比如，遇到你好，直接在Console里跑：

decodeURIComponent(escape('\u4F60\u597D'))

或者更简单，创建一个临时div：

var d=document.createElement('div'); d.innerHTML='你好'; console.log(d.textContent);

输出“你好”。这比打开一个满屏广告的在线网站干净多了。那些网站还经常限制字数、弹窗让你登录、甚至偷偷把你的源码传到服务器。你解的是HTML，丢的是隐私。

有些在线工具确实做了点实事。比如“HTML实体编码解码”这种单一功能的页面，没广告，输入即出结果。但一旦标题带上“解密”二字，基本可以关掉。HTML是标记语言，不是密文。混淆和加密是两码事。混淆只是让人读起来费劲，加密是让人没有密钥读不出来。HTML从来不需要密钥。

一个具体的观察

我统计过Google搜索“html解密在线”的前20个结果。其中14个页面实际功能是“HTML实体转换”，3个是“Base64解码”，2个是“JavaScript美化”，1个是死链。没有一个能处理真正的加密HTML——因为那种东西不存在。如果你遇到一个网页，查看源代码全是乱码，那不是HTML被加密了，而是服务器返回了压缩后的数据（gzip）或者你看到的是二进制流。浏览器会自动解压，你右键看到的已经是解压后的HTML。

所以下次再想“解密HTML”，先问自己：我到底想干什么？是想把<变回<？还是想提取被JS隐藏的内容？前者用实体解码，后者用开发者工具。在线工具可以用，但别指望它“解密”。它顶多是个翻译器，把HTML从一种写法翻成另一种写法。真正的秘密不在HTML里，在服务器端。你解不开的。