URL-Kodierung: Wann man fliehen muss und wann man Dinge kaputt

Was muss kodiert werden

Ein kleiner Zeichensatz ist immer sicher – Buchstaben, Ziffern, `-`, `_`, `.` und `~`. Alles andere ist entweder reserviert oder sollte maskiert werden. Reservierte Zeichen sind die interessanten, weil sie in einem URL zulässig sind, aber nur an bestimmten Positionen: `?` startet eine Abfrage, `&` trennt Parameter, `=` weist einen Wert zu, `#` startet ein Fragment, `/` trennt Pfadsegmente. Fügen Sie eines davon in einen unverschlüsselten Wert ein und Sie haben die Struktur der URL stillschweigend umgeschrieben.

Plus oder %20

Der Weltraum ist das klassische Beispiel. In einem Pfad muss ein Leerzeichen `%20` sein; a `+` gibt es ein wörtliches Plus. In `application/x-www-form-urlencoded`-Körpern und Abfragezeichenfolgen, die von Formularparsern gelesen werden, wird `+` als Leerzeichen verstanden. Diese Divergenz ist der Grund, warum ein Wert in etwas kodiert werden kann, das in einem Kontext funktioniert und in einem anderen nicht funktioniert, und warum Decoder beide Interpretationen anbieten.

Kodieren Sie Komponenten, nicht ganze URLs. Das Ausführen eines vollständigen URL durch einen Komponenten-Encoder entgeht seinem eigenen `://` und `?` und erzeugt eine Verbindung, die sich in nichts auflöst.

Die JavaScript-Unterscheidung, die jeden begeistert

                encodeURI('https://x.com/a b?q=1')        // keeps :// ? = — for a whole URL
encodeURIComponent('a b?q=1')               // escapes ? and = — for one value
              

`encodeURI` behält die URL-Struktur bei und ist für eine vollständige Adresse gedacht; `encodeURIComponent` maskiert alles Signifikante und ist für einen einzelnen Parameterwert gedacht. Die Verwendung des falschen Werts führt entweder zu einem fehlerhaften URL oder zu einem Wert ohne Escapezeichen, und die Symptome sind entgegengesetzt: ein Link, der 404s erhält, oder eine Abfragezeichenfolge, die die Hälfte ihrer Parameter verliert.

Doppelte Kodierung und signierte URLs

Durch die Kodierung eines bereits kodierten Werts wird `%20` zu `%2520`, und der Server dekodiert ihn dann einmal und übergibt Ihrer Anwendung ein Literal `%20` an der Stelle, an der ein Leerzeichen vorgesehen war. Dies zeigt sich in mehrschichtigen Systemen – ein Proxy, der ein Ziel neu kodiert, ein Client, der einem URL entkommt, das er bereits erhalten hat. Bei signierten URLs ist dies am wichtigsten: Signaturen werden über die exakt codierte Zeichenfolge berechnet, sodass die Änderung des Escapezeichens eines Zeichens den Link ungültig macht, obwohl er immer noch zur gleichen Ressource aufgelöst wird.

Zum Debuggen dekodieren

Wenn eine Verbindung ausfällt, ist die Dekodierung der schnellste Weg, um zu sehen, wonach der Server tatsächlich gefragt wird – und die Antwort ist oft ein Wert, der in die Struktur gelangt ist. Wenn Sie im Browser arbeiten, können Sie ein URL mit Token, signierten Parametern oder Kundenkennungen einfügen, ohne es irgendwohin zu senden. Dies ist genau die Art von URL, die Sie nicht in einen Dienst einfügen sollten, der Anfragen protokolliert.