Κωδικοποίηση και αποκωδικοποίηση URL

Μια διεύθυνση URL μπορεί να περιέχει μόνο ένα περιορισμένο σύνολο χαρακτήρων ASCII. Το RFC 3986, η προδιαγραφή του 2005 για τη σύνταξη των URI, τους χωρίζει σε δύο ομάδες. Οι μη δεσμευμένοι χαρακτήρες, A–Z, a–z, 0–9 και τα τέσσερα σύμβολα - . _ ~, δεν χρειάζονται ποτέ κωδικοποίηση. Οι δεσμευμένοι χαρακτήρες έχουν συγκεκριμένο ρόλο: οι γενικοί οριοθέτες : / ? # [ ] @ χωρίζουν το σχήμα, τον κεντρικό υπολογιστή, τη διαδρομή, το ερώτημα και το τμήμα (fragment), ενώ οι υποοριοθέτες ! $ & ' ( ) * + , ; = χωρίζουν στοιχεία μέσα σε αυτά, όπως κάνουν τα & και = σε ένα query string. Όλοι οι υπόλοιποι χαρακτήρες, καθώς και κάθε δεσμευμένος χαρακτήρας που χρησιμοποιείται ως απλά δεδομένα, πρέπει να κωδικοποιούνται με ποσοστό (percent-encoding).

Η κωδικοποίηση με ποσοστό γράφει ένα byte ως % ακολουθούμενο από δύο δεκαεξαδικά ψηφία. Το κείμενο μετατρέπεται πρώτα σε UTF-8, οπότε ένα κενό γίνεται %20, ένα é (δύο byte) γίνεται %C3%A9 και ένα emoji γίνεται τέσσερις ομάδες %XX. Γι' αυτό μια αναζήτηση για "café & bar" καταλήγει σε έναν σύνδεσμο ως caf%C3%A9%20%26%20bar: το & κωδικοποιείται ώστε ο διακομιστής να μην το διαβάσει ως αρχή νέας παραμέτρου.

Το encodeURIComponent είναι η σωστή επιλογή για ένα μεμονωμένο τμήμα, όπως μια τιμή ερωτήματος, ένα τμήμα διαδρομής ή ένα URL ανακατεύθυνσης που περνά ως παράμετρος. Κωδικοποιεί τα πάντα εκτός από τους μη δεσμευμένους χαρακτήρες και τους ! ' ( ) *, που η JavaScript αφήνει ανέγγιχτους για ιστορικούς λόγους. Το encodeURI (ολόκληρο URL) υποθέτει ότι η είσοδος είναι ήδη πλήρης διεύθυνση και διατηρεί άθικτους τους δεσμευμένους χαρακτήρες, οπότε στο https://example.com/a b?q=1 κωδικοποιείται μόνο το κενό. Η χρήση του encodeURI σε τιμή παραμέτρου είναι κλασικό σφάλμα: ένα & ή # μέσα στην τιμή θα επιβιώσει και θα χαλάσει το URL.

Η Αποκωδικοποίηση αναιρεί οποιαδήποτε από τις δύο συναρτήσεις. Οι φόρμες HTML που υποβάλλονται με GET χρησιμοποιούν την παλαιότερη μορφή application/x-www-form-urlencoded, στην οποία το κενό γράφεται ως + αντί για %20. Αφήστε επιλεγμένο το Αντιμετώπιση του + ως κενού για αυτές και απενεργοποιήστε το όταν έχει σημασία ένα κυριολεκτικό σύμβολο συν, όπως σε έναν αριθμό τηλεφώνου. Αν η είσοδος περιέχει % που δεν ακολουθείται από δύο δεκαεξαδικά ψηφία, ή byte που δεν είναι έγκυρο UTF-8, η αποκωδικοποίηση αποτυγχάνει με σαφές μήνυμα αντί να μαντέψει. Όταν το κείμενο περιέχει query string, οι παράμετροί του εμφανίζονται αποκωδικοποιημένες σε πίνακα κάτω από το εργαλείο. Για δυαδικά δεδομένα σε URL, το Base64url είναι η συνήθης εναλλακτική.