Codifica degli spazi negli URL: %20 o segno più?

Uno spazio nei dati URL di solito diventa %20, ma la serializzazione delle query in stile modulo lo rappresenta come +. Entrambi possono essere corretti. L'output corretto dipende dalla destinazione: utilizza la codifica percentuale per un singolo componente URI e utilizza la convenzione plus solo quando il flusso di lavoro di ricezione prevede application/x-www-form-urlencoded dati.

Il Codificatore URL di ClockTools rende esplicito il contesto con i profili Componente URI, URL completo e Dati modulo. Incolla green tea, cambiare profilo e confrontare l'output prima di modificare il codice dell'applicazione.

Inizia con la destinazione

Non chiederti «Quale simbolo indica sempre uno spazio?», ma quale parser riceverà il valore.

Per un segmento di percorso, un valore di frammento o un singolo valore di query, la codifica percentuale è la rappresentazione affidabile. Il byte UTF-8 del carattere spazio è esadecimale 20, quindi la sua tripletta con codifica percentuale è %20.

Per i dati in stile modulo HTML viene utilizzata la convenzione di serializzazione + per spazi e percentuale codifica un plus letterale come %2B. Il standard URL WHATWG definisce questo comportamento form-urlencoded separatamente dall'analisi generale degli URL.

Il documento sulla sintassi URI RFC 3986 definisce un ottetto con codifica percentuale come % seguito da due cifre esadecimali. Distingue inoltre i delimitatori riservati dai caratteri di dati non riservati. Questa distinzione è il motivo per cui la codifica di un valore è diversa dalla codifica di un intero indirizzo.

Tabella per scegliere tra %20 e segno più

L'ultima riga previene un bug comune. Se il valore previsto è C++, invio C++ attraverso un decodificatore di moduli può produrre C . Codifica ogni lettera più come %2B prima dell'analisi del modulo.

Quattro test ClockTools riproducibili

Abbiamo eseguito quattro piccoli input attraverso l'attuale implementazione dello strumento. Il profilo del componente URI utilizza JavaScript encodeURIComponent. I dati del modulo applicano la stessa codifica del componente e quindi sostituiscono %20 con +. Utilizza l'URL completo encodeURI, che preserva la struttura dell'URL.

Sono risultati di trasformazioni deterministiche, non prove del posizionamento nei motori di ricerca. Puoi riprodurli localmente nel browser. La pagina aggiorna subito il risultato, indica le sequenze di escape percentuali e il numero di byte e non ha bisogno di inviare l'input a un server per la conversione.

Usa il Decodificatore URL per eseguire il controllo inverso. Decodifica green%20tea sotto il profilo del componente e green+tea in Dati modulo. Il decodificatore avvisa quando appare un segno più sotto un profilo non-form perché il significato previsto è ambiguo.

Cosa protegge la codifica dei componenti?

Un URL utilizza la punteggiatura come grammatica. In una stringa di query, & può iniziare un altro parametro e = separa un nome da un valore. # inizia un frammento. ? inizia una query. Se uno di questi caratteri appartiene ai dati dell'utente, lasciarlo grezzo può modificare la struttura.

Considera il valore timer & alarm. La codifica del componente produce timer%20%26%20alarm. La e commerciale diventa %26, quindi un parser riceve un valore invece di interpretarlo alarm come nuovo parametro.

La codifica è rappresentazione, non convalida o crittografia. Un reindirizzamento con codifica percentuale può ancora puntare a un host non approvato dopo la decodifica. Uno script codificato è ancora un input non attendibile. Convalida schemi, host, nomi di parametri e regole aziendali consentiti dopo l'analisi. Evita di inserire password, token o altri segreti negli URL perché gli indirizzi possono apparire nella cronologia, nei log, nelle analisi, negli screenshot e nei dati dei referrer.

Quando devi confrontare una stringa di query prima e dopo la codifica, il Confronto delle differenze tra testi rende visibile ogni escape modificato. Questo è più affidabile della scansione di un URL di richiamata lungo per trovarne uno mancante %25.

Perché la doppia codifica crea %2520?

La doppia codifica avviene quando il testo già codificato viene trattato come dati grezzi e codificato nuovamente.

Inizia con uno spazio:

space -> %20

Codifica %20 come un nuovo componente. Il segno di percentuale diventa %25, mentre le cifre rimangono letterali:

%20 -> %2520

Una decodifica cambia %2520 tornare a %20. Una seconda decodifica cambia %20 ad uno spazio. Se la tua applicazione prevede un passaggio di decodifica ma riceve un valore con doppia codifica, l'utente potrebbe vedere %20 invece di uno spazio vuoto.

La soluzione non è ripetere la decodifica finché il testo sembra corretto. Decodifiche ripetute possono modificare delimitatori codificati intenzionalmente e creare problemi di sicurezza. Individua le responsabilità dei vari livelli: uno solo deve codificare il componente e un solo livello corrispondente deve decodificarlo.

Come individuare gli errori nella codifica degli spazi

Utilizzare questo percorso quando un sistema invia %20 e ne viene visualizzato un altro +, %2520o uno spazio letterale.

1. Cattura il valore grezzo prima che qualsiasi parser del framework lo modifichi.
2. Stabilisci se il campo è un segmento di percorso, un componente di query, un URL completo o il corpo di un modulo.
3. Annota il valore decodificato atteso, compresi gli eventuali segni più letterali.
4. Riproduci lo stesso input nel profilo ClockTools corrispondente.
5. Decodifica una volta con il profilo ricevente.
6. Confronta il risultato con il valore atteso.
7. Cerca nel flusso dell'applicazione un secondo codificatore o decodificatore, se %25 appare inaspettatamente.

Questo percorso di debug è intenzionalmente ristretto. Separa il contesto dei dati dalle congetture e ogni passaggio ha un input e un output visibili.

Quando dovresti codificare un URL completo?

Utilizza il profilo URL completo solo quando desideri che l'indirizzo rimanga un indirizzo. Conserva la punteggiatura strutturale come i due punti dello schema, le barre, il punto interrogativo, il segno di uguale, la e commerciale e il marcatore di frammento durante la codifica di caratteri come gli spazi.

Utilizza il componente URI quando un URL completo è esso stesso annidato all'interno di un altro parametro. Ad esempio, un indirizzo di richiamata inserito in redirect= sono i dati dal punto di vista dell'URL esterno. La codifica dell'indirizzo nidificato come un componente lo impedisce ? e & dall'unirsi alla query esterna.

Non passare ripetutamente un indirizzo attraverso profili diversi sperando in una stringa universalmente sicura. Scrivi il confine in modo esplicito:

outer URL structure + encodeURIComponent(inner callback URL)

L'applicazione ricevente dovrebbe analizzare l'URL esterno, estrarre il componente di callback, decodificarlo una volta, analizzare l'URL interno risultante e convalidare la destinazione. La codifica mantiene intatta la sintassi; la convalida decide se la destinazione è consentita.