편집 : Wladimir가 제안한 대로 DOMParser API를 사용해야 합니다. 게시 된 함수에 보안 취약점이 도입 되었으므로 이전 답변을 편집했습니다.

다음 스 니펫은 약간 수정 된 이전 답변의 코드입니다. textarea 대신 divXSS 취약성을 대신 IE9 및 Firefox에서 여전히 문제가됩니다.

function htmlDecode(input){
  var e = document.createElement('textarea');
  e.innerHTML = input;
  // handle case of empty input
  return e.childNodes.length === 0 ? "" : e.childNodes[0].nodeValue;
}

htmlDecode("<img src='myimage.jpg'>");
// returns "<img src='myimage.jpg'>"

기본적으로 프로그래밍 방식으로 DOM 요소를 만들고, 인코딩 된 HTML을 innerHTML에 할당하고 innerHTML 삽입에서 생성 된 텍스트 노드에서 nodeValue를 검색합니다. 요소를 만들지 만 추가하지 않기 때문에 사이트 HTML은 수정되지 않습니다.

크로스 브라우저 (이전 브라우저 포함)에서 작동하며 모든 브라우저를 수락합니다. HTML 문자 엔티티를 .

편집 :이 코드의 이전 버전은 IE에서 공백 입력이 작동하지 않았습니다. jsFiddle (IE에서보기)에서 . 위의 버전은 모든 입력에서 작동합니다.

업데이트 : 이것은 큰 문자열에서 작동하지 않으며 보안 취약점을 유발합니다. 의견을 참조하십시오.

답변

htmlDecode("<img src='dummy' onerror='alert(/xss/)'>");

function htmlDecode(input) {
  var doc = new DOMParser().parseFromString(input, "text/html");
  return doc.documentElement.textContent;
}

console.log(  htmlDecode("<img src='myimage.jpg'>")  )
// "<img src='myimage.jpg'>"

console.log(  htmlDecode("<img src='dummy' onerror='alert(/xss/)'>")  )
// ""

function htmlDecode(value){
  return $('<div/>').html(value).text();
}

function unescapeHtml(html) {
    var el = document.createElement('div');
    return html.replace(/\&[#0-9a-z]+;/gi, function (enc) {
        el.innerHTML = enc;
        return el.innerText
    });
}

function unencodeHtmlContent(escapedHtml) {
  var elem = document.createElement('div');
  elem.innerHTML = escapedHtml;
  var result = '';
  // Chrome splits innerHTML into many child nodes, each one at most 65536.
  // Whereas FF creates just one single huge child node.
  for (var i = 0; i < elem.childNodes.length; ++i) {
    result = result + elem.childNodes[i].nodeValue;
  }
  return result;
}

{"img" : ["myimage.jpg", "myimage2.jpg"]}

function htmlDecode(value) {
   return (typeof value === 'undefined') ? '' : $('<div/>').html(value).text();
}