Encodage des espaces dans les URL : %20 ou signe plus ?

Dans les données d'une URL, un espace devient généralement %20, mais la sérialisation de requêtes de type formulaire le représente par +. Les deux peuvent être corrects. Le bon résultat dépend de la destination : utilisez l'encodage en pourcentage pour un composant URI individuel, et la convention du signe plus uniquement si le système récepteur attend des données application/x-www-form-urlencoded.

L'encodeur d'URL ClockTools explicite ce contexte avec les profils URI Component, Full URL et Form Data. Collez green tea, changez de profil et comparez les résultats avant de modifier le code de l'application.

Commencez par la destination

Ne demandez pas « Quel symbole désigne toujours un espace ? », mais « Quel analyseur recevra la valeur ? ».

Pour un segment de chemin, une valeur de fragment ou une valeur de requête individuelle, l'encodage en pourcentage est une représentation fiable. L'octet UTF-8 de l'espace vaut 20 en hexadécimal : son triplet encodé en pourcentage est donc %20.

Pour les données de formulaires HTML, la convention de sérialisation utilise + pour les espaces et encode un signe plus littéral en %2B. Le standard URL du WHATWG définit ce comportement form-urlencoded séparément de l'analyse générale des URL.

Le texte de la RFC 3986 sur la syntaxe des URI définit un octet encodé en pourcentage par % suivi de deux chiffres hexadécimaux. Il distingue aussi les délimiteurs réservés des caractères de données non réservés. C'est pourquoi encoder une valeur diffère d'encoder une adresse entière.

Tableau de choix entre %20 et le signe plus

La dernière ligne évite un problème fréquent. Si la valeur souhaitée est C++, envoyer C++ à un décodeur de formulaire peut produire C . Encodez chaque signe plus littéral en %2B avant l'analyse du formulaire.

Quatre tests ClockTools reproductibles

Nous avons testé quatre petites entrées dans l'implémentation actuelle de l'outil. Le profil URI Component utilise JavaScript encodeURIComponent. Form Data applique le même encodage du composant, puis remplace %20 par +. Full URL utilise encodeURI, qui préserve la structure de l'URL.

Ce sont des résultats de transformations déterministes, pas des preuves de classement dans les moteurs de recherche. Vous pouvez les reproduire localement dans le navigateur. La page actualise immédiatement le résultat, indique les séquences d'échappement en pourcentage et le nombre d'octets, sans avoir à envoyer la saisie à un serveur.

Utilisez le décodeur d'URL pour effectuer le contrôle inverse. Décodez green%20tea avec le profil composant et green+tea avec Form Data. Le décodeur avertit lorsqu'un signe plus apparaît dans un profil hors formulaire, car son sens est alors ambigu.

Que protège l'encodage d'un composant ?

Dans une URL, la ponctuation joue un rôle grammatical. Dans une chaîne de requête, & peut introduire un autre paramètre et = sépare le nom de sa valeur. # commence un fragment. ? commence une requête. Si l'un de ces signes appartient aux données saisies, le laisser brut peut modifier la structure.

Prenez la valeur timer & alarm. L'encodage du composant produit timer%20%26%20alarm. L'esperluette devient %26 : l'analyseur reçoit donc une seule valeur au lieu d'interpréter alarm comme un nouveau paramètre.

L'encodage est une représentation, pas une validation ni un chiffrement. Une redirection encodée en pourcentage peut toujours pointer vers un hôte non autorisé après décodage. Un script encodé reste une entrée non fiable. Après analyse, validez les schémas, les hôtes, les noms de paramètres et les règles métier autorisés. Évitez d'inscrire des mots de passe, des jetons ou d'autres secrets dans les URL : les adresses peuvent apparaître dans l'historique, les journaux, les données d'analyse, les captures d'écran et les données de provenance.

Pour comparer une chaîne de requête avant et après, le vérificateur de différences de texte rend visible chaque séquence d'échappement modifiée. C'est plus fiable que de rechercher à l'œil un %25 manquant dans une longue URL de rappel.

Pourquoi le double encodage crée-t-il %2520 ?

Le double encodage se produit lorsqu'un texte déjà encodé est traité comme des données brutes et à nouveau encodé.

Commencez par un espace :

space -> %20

Encodez %20 comme un nouveau composant. Le signe de pourcentage devient %25, tandis que les chiffres restent littéraux :

%20 -> %2520

Un premier décodage transforme %2520 en %20. Le second transforme %20 en espace. Si l'application attend un seul décodage mais reçoit une valeur doublement encodée, l'utilisateur peut voir %20 au lieu d'un espace.

La solution n'est pas de décoder à répétition jusqu'à ce que le texte semble correct. Cela peut modifier des délimiteurs délibérément encodés et créer des problèmes de sécurité. Définissez clairement les responsabilités : une seule couche doit encoder le composant, et une seule couche correspondante doit le décoder.

Méthode de diagnostic des espaces mal interprétés

Suivez cette méthode lorsqu'un système envoie %20 et qu'un autre affiche +, %2520 ou un espace brut.

1. Capturez la valeur brute avant qu'un analyseur de framework ne la modifie.
2. Identifiez si le champ est un segment de chemin, un composant de requête, une URL complète ou un corps de formulaire.
3. Enregistrez la valeur décodée attendue, y compris les signes plus littéraux.
4. Reproduisez la même entrée dans le profil ClockTools correspondant.
5. Décodez une fois avec le profil de réception.
6. Comparez le résultat avec la valeur attendue.
7. Recherchez un deuxième encodeur ou décodeur dans le flux de l'application si %25 apparaît de manière inattendue.

Ce chemin de débogage est intentionnellement étroit. Il sépare le contexte des données des conjectures, et chaque étape a une entrée et une sortie visibles.

Quand faut-il encoder une URL complète ?

Utilisez le profil Full URL uniquement si l'adresse doit rester une adresse. Il conserve la ponctuation structurelle, notamment les deux-points du schéma, les barres obliques, le point d'interrogation, le signe égal, l'esperluette et le marqueur de fragment, tout en encodant les caractères comme les espaces.

Utilisez URI Component lorsqu'une URL complète est imbriquée dans un autre paramètre. Par exemple, une adresse de rappel placée dans redirect= constitue une donnée pour l'URL extérieure. L'encoder comme un seul composant empêche ses ? et & de rejoindre la requête extérieure.

Ne transmettez pas une adresse à plusieurs reprises via différents profils en espérant obtenir une chaîne universellement sûre. Écrivez explicitement la limite :

outer URL structure + encodeURIComponent(inner callback URL)

L'application réceptrice doit analyser l'URL externe, extraire le composant de rappel, le décoder une fois, analyser l'URL interne résultante et valider la destination. Le codage conserve la syntaxe intacte ; la validation décide si la destination est autorisée.