เข้ารหัสและถอดรหัส URL

URL มีอักขระ ASCII ได้เพียงชุดจำกัด RFC 3986 ซึ่งเป็นข้อกำหนดไวยากรณ์ของ URI ฉบับปี 2005 แบ่งอักขระออกเป็นสองกลุ่ม กลุ่ม unreserved ได้แก่ A–Z, a–z, 0–9 และเครื่องหมายสี่ตัว - . _ ~ ไม่ต้องเข้ารหัสเลย ส่วนกลุ่ม reserved มีหน้าที่เฉพาะ โดย general delimiters : / ? # [ ] @ ใช้คั่น scheme, host, path, query และ fragment ส่วน sub-delimiters ! $ & ' ( ) * + , ; = ใช้คั่นรายการภายในส่วนเหล่านั้น เช่น & และ = ในสตริง query ส่วนอักขระอื่นทั้งหมด รวมถึงอักขระ reserved ที่ใช้เป็นข้อมูลธรรมดา ต้องเข้ารหัสแบบ percent-encoding

Percent-encoding เขียนไบต์เป็นเครื่องหมาย % ตามด้วยเลขฐานสิบหกสองหลัก ข้อความจะถูกแปลงเป็น UTF-8 ก่อน ช่องว่างจึงกลายเป็น %20, ตัว é (สองไบต์) กลายเป็น %C3%A9 และอีโมจิกลายเป็นกลุ่ม %XX สี่กลุ่ม ด้วยเหตุนี้การค้นหา "café & bar" จึงปรากฏในลิงก์เป็น caf%C3%A9%20%26%20bar โดย & ถูกเข้ารหัสเพื่อไม่ให้เซิร์ฟเวอร์เข้าใจว่าเป็นจุดเริ่มต้นของพารามิเตอร์ใหม่

encodeURIComponent เหมาะกับส่วนย่อยเพียงส่วนเดียว เช่น ค่าใน query, ส่วนของ path หรือ URL สำหรับ redirect ที่ส่งเป็นพารามิเตอร์ ฟังก์ชันนี้เข้ารหัสทุกอย่างยกเว้นอักขระ unreserved และ ! ' ( ) * ซึ่ง JavaScript เว้นไว้ด้วยเหตุผลทางประวัติศาสตร์ ส่วน encodeURI (whole URL) ถือว่าอินพุตเป็นที่อยู่ที่สมบูรณ์อยู่แล้วและคงอักขระ reserved ไว้ ดังนั้น https://example.com/a b?q=1 จะเข้ารหัสเฉพาะช่องว่างเท่านั้น การใช้ encodeURI กับค่าพารามิเตอร์เป็นข้อผิดพลาดที่พบบ่อย เพราะ & หรือ # ในค่านั้นจะไม่ถูกเข้ารหัสและทำให้ URL เสีย

Decode ย้อนกลับได้ทั้งสองฟังก์ชัน ฟอร์ม HTML ที่ส่งด้วย GET ใช้รูปแบบ application/x-www-form-urlencoded แบบเก่า ซึ่งเขียนช่องว่างเป็น + แทน %20 ให้เลือก Treat + as a space ไว้สำหรับกรณีนั้น และยกเลิกเมื่อเครื่องหมายบวกจริงมีความหมาย เช่น ในเบอร์โทรศัพท์ หากอินพุตมี % ที่ไม่ได้ตามด้วยเลขฐานสิบหกสองหลัก หรือมีไบต์ที่ไม่ใช่ UTF-8 ที่ถูกต้อง การถอดรหัสจะล้มเหลวพร้อมข้อความที่ชัดเจนแทนการเดา เมื่อข้อความมีสตริง query พารามิเตอร์จะแสดงในรูปที่ถอดรหัสแล้วในตารางใต้เครื่องมือ สำหรับข้อมูลไบนารีใน URL ทางเลือกที่นิยมคือ Base64url