Escapar y desescapar cadenas de texto
Convierte un texto en una cadena segura para insertarla en código —JSON, JavaScript, HTML, XML, SQL, CSV, expresiones regulares o URL— o haz la operación inversa para leer un texto ya escapado.
Cómo usar la herramienta
Elige el formato de destino, escribe o pega el texto y copia el resultado. Con «Desescapar» haces el proceso contrario: por ejemplo, pegar una cadena JSON con \n y \" para leerla tal cual. El botón «Usar resultado como entrada» permite encadenar operaciones (por ejemplo, escapar para JSON y después para SQL). Todo se procesa en tu navegador.
Qué se escapa en cada formato
| Formato | Caracteres que cambian | Ejemplo |
|---|---|---|
| JSON | " \, saltos de línea, tabuladores y caracteres de control (U+0000–U+001F) | " → \", salto → \n |
| JavaScript | Como JSON, más la comilla simple, U+2028/U+2029 y </script | ' → \' |
| HTML | & < > " ' | < → < |
| XML | & < > " ' | ' → ' |
| SQL | Comilla simple (estándar SQL) | O'Brien → O''Brien |
| CSV | Campo entre comillas si contiene , ; " o salto de línea; comillas duplicadas | a,"b" → "a,""b""" |
| Regex | . * + ? ^ $ { } ( ) | [ ] \ / | 1.5 → 1\.5 |
| URL | Todo excepto A–Z a–z 0–9 - _ . ! ~ * ' ( ), en UTF-8 | espacio → %20, ñ → %C3%B1 |
Ejemplos prácticos
Meter un texto con comillas en JSON
El texto Dijo "sí" se convierte en Dijo \"sí\", y ya puedes escribir {"frase": "Dijo \"sí\""}. Comprueba el resultado con formatear JSON.
Buscar un texto literal con una expresión regular
Para encontrar «(precio: 9.99$)» tal cual, escápalo: \(precio: 9\.99\$\). Sin escapar, el punto coincidiría con cualquier carácter y el $ con el final de línea. Pruébalo en el probador de regex.
Mostrar código en una página web
Para que <b> se vea como texto y no ponga negrita, escápalo para HTML: <b>. Si necesitas la tabla completa de símbolos (©, €, ñ…), consulta las entidades HTML.
Parámetros en una URL
El modo URL usa encodeURIComponent, apropiado para el valor de un parámetro. Para codificar una URL completa sin romper sus / y ?, usa codificar URL.
Errores habituales
- Escapar dos veces:
&lt;o\\nson señales de doble escape. Desescapa una vez y revisa. - Usar el escape equivocado: un texto escapado para HTML no es seguro dentro de un atributo
onclickni dentro de un<script>, que necesitan escape de JavaScript. - SQL con barra invertida: MySQL en su modo por defecto también trata
\como escape. Esta herramienta sigue el estándar SQL (duplicar comillas); con MySQL, prefiere siempre consultas preparadas. - CSV con punto y coma: en España y gran parte de Latinoamérica, Excel usa
;como separador. Por eso el campo también se entrecomilla si contiene punto y coma.
Preguntas frecuentes
¿Qué significa escapar una cadena?
Es transformar los caracteres que tienen un significado especial en un lenguaje (comillas, barras, <, saltos de línea) en una secuencia que se interpreta como texto literal. Así, un texto como Dijo "hola" puede ir dentro de una cadena JSON sin romperla.
¿Escapar comillas en SQL protege contra la inyección SQL?
No es suficiente. La forma segura es usar consultas preparadas (parámetros) en tu lenguaje o ORM. Escapar a mano sirve para scripts puntuales o para escribir datos literales en un archivo .sql.
¿Qué diferencia hay entre escapar para HTML y para XML?
Son casi iguales: ambos convierten &, <, > y comillas. La diferencia es el apóstrofo: XML usa ', mientras que en HTML es más compatible '.
¿Por qué en CSV las comillas se duplican?
Según el estándar RFC 4180, un campo que contiene comas, comillas o saltos de línea va entre comillas dobles, y cada comilla interna se escribe dos veces: Dijo "hola" se convierte en "Dijo ""hola""".