Codificación URL: cuándo escapar y cuándo estás rompiendo

¿Qué debe codificarse?

Un pequeño conjunto de caracteres siempre es seguro: letras, dígitos, `-`, `_`, `.` y `~`. Todo lo demás está reservado o se debe evitar. Los caracteres reservados son los interesantes, porque son legales en una URL pero solo en posiciones específicas: `?` inicia una consulta, `&` separa parámetros, `=` asigna un valor, `#` inicia un fragmento, `/` separa segmentos de ruta. Coloque uno de ellos dentro de un valor sin codificar y habrá reescrito silenciosamente la estructura de la URL.

Más o %20

El espacio es el ejemplo clásico. En un camino, un espacio debe ser `%20`; un `+` hay un plus literal. En cuerpos `application/x-www-form-urlencoded` y cadenas de consulta leídas por analizadores de formularios, `+` se entiende como un espacio. Esa divergencia es la razón por la cual un valor puede codificar algo que funciona en un contexto y no funciona en otro, y por qué los decodificadores ofrecen ambas interpretaciones.

Codifique componentes, no URL completas. Al ejecutar un URL completo a través de un codificador de componentes, se escapan sus propios `://` y `?`, lo que produce un enlace que no se resuelve en nada.

La distinción de JavaScript que atrapa a todos

                encodeURI('https://x.com/a b?q=1')        // keeps :// ? = — for a whole URL
encodeURIComponent('a b?q=1')               // escapes ? and = — for one value
              

`encodeURI` conserva la estructura URL y está destinado a una dirección completa; `encodeURIComponent` escapa a todo lo significativo y está destinado a un valor de parámetro único. Usar el incorrecto produce un URL roto o un valor sin escape, y los síntomas son opuestos: un enlace 404 o una cadena de consulta que pierde la mitad de sus parámetros.

Doble codificación y URL firmadas

Codificar un valor ya codificado convierte `%20` en `%2520`, y luego el servidor lo decodifica una vez y le entrega a su aplicación un `%20` literal donde estaba previsto un espacio. Esto aparece en sistemas en capas: un proxy que vuelve a codificar un objetivo, un cliente que escapa de un URL que recibió y que ya se escapó. Es más importante para las URL firmadas: las firmas se calculan sobre la cadena codificada exacta, por lo que cambiar el escape de un carácter invalida el enlace aunque todavía se resuelva en el mismo recurso.

Decodificar para depurar

Cuando un enlace falla, decodificarlo es la forma más rápida de ver qué se le solicita realmente al servidor, y la respuesta suele ser un valor que se filtró en la estructura. Trabajar en el navegador significa que puede pegar un URL que contiene tokens, parámetros firmados o identificadores de cliente sin enviarlo a ninguna parte, que es precisamente el tipo de URL que no debe pegar en un servicio que registra solicitudes.