URL codificação: quando escapar e quando você está quebrando

O que deve ser codificado

Um pequeno conjunto de caracteres é sempre seguro — letras, dígitos, `-`, `_`, `.` e `~`. Todo o resto é reservado ou deve ser escapado. Caracteres reservados são os interessantes, porque são legais em um URL, mas apenas em posições específicas: `?` inicia uma consulta, `&` separa parâmetros, `=` atribui um valor, `#` inicia um fragmento, `/` separa segmentos de caminho. Coloque um deles dentro de um valor não codificado e você reescreverá silenciosamente a estrutura do URL.

Mais ou% 20

O espaço é o exemplo clássico. Num caminho, um espaço deve ser `%20`; um `+` há uma vantagem literal. Em corpos `application/x-www-form-urlencoded` e strings de consulta lidas por analisadores de formulário, `+` é entendido como um espaço. Essa divergência é a razão pela qual um valor pode codificar algo que funciona em um contexto e quebra em outro, e por que os decodificadores oferecem ambas as interpretações.

Codifique componentes, não URLs inteiros. Executar um URL completo através de um codificador de componente escapa de seus próprios `://` e `?`, produzindo um link que não resolve nada.

A distinção JavaScript que agrada a todos

                encodeURI('https://x.com/a b?q=1')        // keeps :// ? = — for a whole URL
encodeURIComponent('a b?q=1')               // escapes ? and = — for one value
              

`encodeURI` preserva a estrutura de URL e destina-se a um endereço completo; `encodeURIComponent` escapa de tudo que é significativo e se destina a um único valor de parâmetro. Usar o valor errado produz um URL quebrado ou um valor sem escape, e os sintomas são opostos: um link que dá erro 404 ou uma string de consulta que perde metade de seus parâmetros.

Codificação dupla e URLs assinados

Codificar um valor já codificado transforma `%20` em `%2520`, e o servidor então o decodifica uma vez e entrega ao seu aplicativo um `%20` literal onde um espaço era pretendido. Isso aparece em sistemas em camadas – um proxy recodificando um alvo, um cliente escapando de um URL que recebeu já escapado. Isso é mais importante para URLs assinados: as assinaturas são calculadas na string codificada exata, portanto, alterar o escape de um caractere invalida o link, mesmo que ele ainda resolva para o mesmo recurso.

Decodificar para depurar

Quando um link falha, decodificá-lo é a maneira mais rápida de ver o que realmente está sendo solicitado ao servidor — e a resposta geralmente é um valor que vazou para a estrutura. Trabalhar no navegador significa que você pode colar um URL contendo tokens, parâmetros assinados ou identificadores de clientes sem enviá-los para lugar nenhum, que é exatamente o tipo de URL que você não deve colar em um serviço que registra solicitações.