URL एन्कोडिंग: कब बचना है, और कब आप चीज़ों को तोड़ रहे हैं

क्या एन्कोड किया जाना चाहिए

वर्णों का एक छोटा समूह हमेशा सुरक्षित रहता है - अक्षर, अंक, `-`, `_`, `.` और `~`। बाकी सब कुछ या तो आरक्षित है या उससे बच जाना चाहिए। आरक्षित वर्ण दिलचस्प हैं, क्योंकि वे एक यूआरएल में वैध हैं, लेकिन केवल विशिष्ट स्थितियों में: `?` एक क्वेरी शुरू करता है, `&` पैरामीटर को अलग करता है, `=` एक मान निर्दिष्ट करता है, `#` एक टुकड़ा शुरू करता है, `/` पथ खंडों को अलग करता है। उनमें से एक को अनएनकोडेड मान के अंदर रखें और आपने चुपचाप यूआरएल की संरचना को फिर से लिख दिया है।

प्लस या %20

अंतरिक्ष इसका उत्कृष्ट उदाहरण है। एक पथ में, एक स्थान `%20` होना चाहिए; एक `+` एक शाब्दिक प्लस है। फॉर्म पार्सर्स द्वारा पढ़ी गई `application/x-www-form-urlencoded` बॉडी और क्वेरी स्ट्रिंग में, `+` को एक स्थान के रूप में समझा जाता है। वह विचलन यही कारण है कि कोई मान किसी ऐसी चीज़ को एनकोड कर सकता है जो एक संदर्भ में काम करती है और दूसरे में टूट जाती है, और क्यों डिकोडर दोनों व्याख्याएं पेश करते हैं।

घटकों को एन्कोड करें, संपूर्ण URL को नहीं. एक घटक एनकोडर के माध्यम से पूर्ण URL चलाने से उसका अपना `://` और `?` बच जाता है, जिससे एक लिंक उत्पन्न होता है जिसका समाधान कुछ भी नहीं होता है।

जावास्क्रिप्ट भेद जो हर किसी को पकड़ लेता है

                encodeURI('https://x.com/a b?q=1')        // keeps :// ? = — for a whole URL
encodeURIComponent('a b?q=1')               // escapes ? and = — for one value
              

`encodeURI` संरचना URL को सुरक्षित रखता है और पूर्ण पते के लिए है; `encodeURIComponent` हर महत्वपूर्ण चीज़ से बच जाता है और एकल पैरामीटर मान के लिए होता है। गलत का उपयोग करने से या तो टूटा हुआ URL या एक अनएस्केप्ड मान उत्पन्न होता है, और लक्षण विपरीत होते हैं: एक लिंक जो 404 है, या एक क्वेरी स्ट्रिंग जो अपने आधे पैरामीटर खो देती है।

डबल एन्कोडिंग और हस्ताक्षरित यूआरएल

पहले से एन्कोड किए गए मान को एन्कोड करने से `%20` को `%2520` में बदल दिया जाता है, और फिर सर्वर इसे एक बार डीकोड करता है और आपके एप्लिकेशन को शाब्दिक `%20` देता है जहां एक स्थान का इरादा था। यह स्तरित सिस्टम में दिखाई देता है - एक प्रॉक्सी एक लक्ष्य को फिर से एन्कोड कर रहा है, एक क्लाइंट उस यूआरएल से बच रहा है जिसे वह पहले ही प्राप्त कर चुका है। यह हस्ताक्षरित यूआरएल के लिए सबसे अधिक मायने रखता है: हस्ताक्षर की गणना सटीक एन्कोडेड स्ट्रिंग पर की जाती है, इसलिए एक चरित्र के भागने को बदलने से लिंक अमान्य हो जाता है, भले ही यह अभी भी उसी संसाधन पर हल हो।

डिबग करने के लिए डिकोड करें

जब कोई लिंक विफल हो रहा है, तो इसे डिकोड करना यह देखने का सबसे तेज़ तरीका है कि सर्वर वास्तव में क्या मांग रहा है - और उत्तर अक्सर एक मान होता है जो संरचना में लीक हो जाता है। ब्राउज़र में काम करने का मतलब है कि आप टोकन, हस्ताक्षरित पैरामीटर या ग्राहक पहचानकर्ताओं वाले URL को कहीं भी भेजे बिना पेस्ट कर सकते हैं, जो ठीक उसी तरह का URL है जिसे आपको अनुरोधों को लॉग करने वाली सेवा में पेस्ट नहीं करना चाहिए।