Encoder et décoder une URL

Une URL ne peut contenir qu'un ensemble limité de caractères ASCII. La RFC 3986, la spécification de 2005 sur la syntaxe des URI, les répartit en deux groupes. Les caractères non réservés, A–Z, a–z, 0–9 et les quatre signes - . _ ~, n'ont jamais besoin d'être encodés. Les caractères réservés ont un rôle : les délimiteurs généraux : / ? # [ ] @ séparent le schéma, l'hôte, le chemin, la requête et le fragment, et les sous-délimiteurs ! $ & ' ( ) * + , ; = séparent les éléments à l'intérieur de ceux-ci, comme & et = dans une chaîne de requête. Tout le reste, ainsi que tout caractère réservé utilisé comme simple donnée, doit être encodé en pourcentage.

L'encodage en pourcentage écrit un octet sous la forme % suivi de deux chiffres hexadécimaux. Le texte est d'abord converti en UTF-8 : une espace devient %20, un é (deux octets) devient %C3%A9 et un émoji devient quatre groupes %XX. C'est pourquoi une recherche « café & bar » se retrouve dans un lien sous la forme caf%C3%A9%20%26%20bar : le & est encodé pour que le serveur ne le lise pas comme le début d'un nouveau paramètre.

encodeURIComponent est le bon choix pour un seul élément, comme une valeur de requête, un segment de chemin ou une URL de redirection passée en paramètre. Cette fonction échappe tout sauf les caractères non réservés et ! ' ( ) *, que JavaScript laisse intacts pour des raisons historiques. encodeURI (URL entière) suppose que son entrée est déjà une adresse complète et conserve les caractères réservés : dans https://example.com/a b?q=1, seule l'espace est encodée. Utiliser encodeURI sur la valeur d'un paramètre est un bug classique : un & ou un # dans la valeur resterait tel quel et casserait l'URL.

Decode (décodage) annule l'une ou l'autre fonction. Les formulaires HTML envoyés en GET utilisent l'ancien format application/x-www-form-urlencoded, dans lequel l'espace s'écrit + au lieu de %20 ; laissez Treat + as a space coché pour ces cas, et décochez-le lorsqu'un signe plus littéral compte, comme dans un numéro de téléphone. Si le texte contient un % qui n'est pas suivi de deux chiffres hexadécimaux, ou des octets qui ne sont pas de l'UTF-8 valide, le décodage échoue avec un message clair au lieu de deviner. Lorsque le texte contient une chaîne de requête, ses paramètres apparaissent décodés dans un tableau sous l'outil. Pour des données binaires dans des URL, Base64url est l'alternative habituelle.