Кодирование и декодирование URL

Адрес (URL) может состоять только из ограниченного набора символов ASCII: латинских букв, цифр и нескольких знаков. Всё остальное - пробелы, кириллица, иероглифы, эмодзи, а также символы, которые в адресе имеют особый смысл, - записывается последовательностью %XX, где XX - шестнадцатеричное значение байта.

Например, пробел - %20, знак вопроса - %3F, а русская буква «я» в UTF-8 занимает два байта и превращается в %D1%8F. Способ описан в стандарте RFC 3986 и называется percent-encoding. Он нужен, чтобы любые данные можно было безопасно передать в адресной строке, не нарушив структуру адреса.

По RFC 3986 незарезервированные символы — латинские буквы, цифры и - _ . ~. В выбранном способе кодирования набор сохранённых символов может отличаться: например, «Форма» кодирует ~ и сохраняет *.

Зарезервированные символы имеют структурное значение. Кодируйте их, когда они являются данными, и сохраняйте, когда они разделяют части адреса. Сравнение режимов приведено в таблице выше.

encodeURIComponent (режим «Компонент») оставляет буквы, цифры и - _ . ! ~ * ' ( ). encodeURI (режим «Адрес целиком») дополнительно сохраняет ; , / ? : @ & = + $ #.

«Строгий RFC 3986» оставляет буквы, цифры и - _ . ~, как rawurlencode в PHP. «Форма» следует HTML/URLSearchParams: оставляет буквы, цифры и * - _ ., пробел заменяет на +. PHP urlencode и Python quote_plus похожи, но имеют отличия в обработке отдельных знаков.

В percent-encoding пробел записывается как %20. Формат application/x-www-form-urlencoded заменяет пробел на +; его используют HTML-формы и URLSearchParams. Это относится и к строке запроса, и к телу формы.

В пути URL плюс — обычный символ. В параметрах, разбираемых как форма, сам плюс передавайте как %2B. Не считайте любой + в произвольном URL пробелом.

Как правило, нет. Кодировать нужно отдельные части - значения параметров и сегменты пути - до того, как вы соберёте из них адрес. Если закодировать готовый адрес как компонент, исчезнет его структура: https://site.ru/a?b=c превратится в https%3A%2F%2Fsite.ru%2Fa%3Fb%3Dc, и это уже не ссылка.

Исключение - когда адрес целиком является значением параметра другого адреса (например, redirect=https%3A%2F%2Fsite.ru%2Fa%3Fb%3Dc): тогда кодировать его как компонент как раз нужно.

Выберите режим «Компонент» (для параметров и сегментов пути) или «Адрес целиком» (для готовой ссылки) и кодировку UTF-8. Каждая русская буква занимает в UTF-8 два байта, поэтому превращается в две последовательности: «привет» - %D0%BF%D1%80%D0%B8%D0%B2%D0%B5%D1%82. Браузеры показывают такой адрес в читаемом виде, но отправляют на сервер закодированным.

Доменные имена с кириллицей кодируются иначе - не процентами, а по алгоритму Punycode: «пример.рф» превращается в xn--e1afmkfd.xn--p1ai. Это делает сам браузер при обращении к сайту.

Это ситуация, когда уже закодированную строку закодировали ещё раз: знак «%» превратился в %25, и %D0 стал %25D0. Признак - в результате декодирования вы снова видите %-последовательности, а не буквы.

Исправить просто: декодируйте строку повторно. Инструмент сам замечает такой случай и показывает кнопку «Декодировать ещё раз». Чтобы не создавать проблему, кодируйте данные ровно один раз - в том месте, где собираете адрес.

Процентное кодирование записывает байты, а то, какие это буквы, определяет кодировка. Современные сайты используют UTF-8 (буква «п» - %D0%BF), но старые российские сайты и некоторые CMS - windows-1251 (та же буква - %EF), реже KOI8-R. Если выбрана не та кодировка, вместо текста получаются символы замены «�» или нечитаемый набор вроде «РїСЂРёРІРµС‚».

Переключите кодировку - инструмент при ошибке сам определяет, что строка больше похожа на windows-1251 или KOI8-R, и предлагает её одной кнопкой.

В JavaScript - encodeURIComponent и decodeURIComponent; в PHP - rawurlencode/rawurldecode и urlencode/urldecode; в Python - urllib.parse.quote и unquote; в Java - URLEncoder.encode и URLDecoder.decode с явным указанием UTF-8; в C# - Uri.EscapeDataString и Uri.UnescapeDataString; в Go - url.QueryEscape и url.QueryUnescape.

Полная таблица с вызовами для каждого языка приведена выше, в разделе «Как сделать то же в коде». Всегда указывайте кодировку явно: если библиотека берёт её из настроек системы, на другом сервере результат может отличаться.

Нет. Процентное кодирование - это не шифрование и не защита: любой человек раскодирует строку за секунду, в том числе этим же инструментом. Оно лишь делает данные безопасными для передачи в адресе. Пароли и токены в адресной строке небезопасны сами по себе: они остаются в истории браузера, журналах серверов и заголовке Referer.

Стандарт не ограничивает длину адреса, но на практике пределы есть: браузеры и поисковые системы стабильно работают примерно до 2000 символов, веб-серверы по умолчанию принимают строку запроса порядка 8 КБ (в nginx и Apache это настраивается). Учтите, что кодирование удлиняет адрес: каждая русская буква превращается в 6 символов (%D0%BF), поэтому длинные тексты лучше передавать в теле POST-запроса, а не в адресе.

Всё после знака # - якорь (fragment) - обрабатывается только браузером и в запросе к серверу не отправляется. Поэтому его нельзя использовать для передачи данных на сервер, а в значениях параметров символ # обязательно кодируется как %23, иначе остаток строки будет отрезан.

Нет - 100%. Сайт целиком статический, у него нет серверной части, которая могла бы принять текст. Кодирование и декодирование выполняются прямо в вашем браузере.