Кодирование и декодирование URL

Адрес (URL) может состоять только из ограниченного набора символов ASCII: латинских букв, цифр и нескольких знаков. Всё остальное - пробелы, кириллица, иероглифы, эмодзи, а также символы, которые в адресе имеют особый смысл, - записывается последовательностью %XX, где XX - шестнадцатеричное значение байта.

Например, пробел - %20, знак вопроса - %3F, а русская буква «я» в UTF-8 занимает два байта и превращается в %D1%8F. Способ описан в стандарте RFC 3986 и называется percent-encoding. Он нужен, чтобы любые данные можно было безопасно передать в адресной строке, не нарушив структуру адреса.

Без кодирования всегда остаются «безопасные» символы (unreserved): латинские буквы A-Z и a-z, цифры 0-9 и знаки - _ . ~.

Зарезервированные символы (reserved) ! * ' ( ) ; : @ & = + $ , / ? # [ ] имеют в адресе служебную роль. Если они часть данных, их нужно кодировать, если служебные - оставлять. Все остальные символы - пробел, кавычки, < > \ ^ ` { | }, кириллица и любые не-ASCII знаки - кодируются всегда. Полная таблица символов с кодами приведена выше, в разделе «Справочник символов».

encodeURIComponent (режим «Компонент») кодирует всё, кроме букв, цифр и - _ . ! ~ * ' ( ). Его используют для значений параметров и сегментов пути.

encodeURI (режим «Адрес целиком») дополнительно оставляет служебные символы ; , / ? : @ & = + $ #, поэтому подходит только для готового адреса, в котором нужно заменить пробелы и кириллицу.

rawurlencode в PHP (режим «Строгий RFC 3986») кодирует всё, кроме букв, цифр и - _ . ~. urlencode в PHP (режим «Форма») делает то же, но пробел заменяет на «+», как браузер при отправке формы. Точное сравнение - в таблице «Способы кодирования».

Исторически сложились два формата. По RFC 3986 пробел везде кодируется как %20. А формат application/x-www-form-urlencoded, в котором браузеры отправляют данные HTML-форм, заменяет пробел знаком «+».

Поэтому «+» означает пробел только в строке запроса, составленной формой (после «?»), а в пути адреса «+» - обычный плюс. Если сомневаетесь, используйте %20: его правильно понимают в обоих местах. А чтобы передать сам знак плюс, всегда кодируйте его как %2B.

Как правило, нет. Кодировать нужно отдельные части - значения параметров и сегменты пути - до того, как вы соберёте из них адрес. Если закодировать готовый адрес как компонент, исчезнет его структура: https://site.ru/a?b=c превратится в https%3A%2F%2Fsite.ru%2Fa%3Fb%3Dc, и это уже не ссылка.

Исключение - когда адрес целиком является значением параметра другого адреса (например, redirect=https%3A%2F%2Fsite.ru%2Fa%3Fb%3Dc): тогда кодировать его как компонент как раз нужно.

Выберите режим «Компонент» (для параметров и сегментов пути) или «Адрес целиком» (для готовой ссылки) и кодировку UTF-8. Каждая русская буква занимает в UTF-8 два байта, поэтому превращается в две последовательности: «привет» - %D0%BF%D1%80%D0%B8%D0%B2%D0%B5%D1%82. Браузеры показывают такой адрес в читаемом виде, но отправляют на сервер закодированным.

Доменные имена с кириллицей кодируются иначе - не процентами, а по алгоритму Punycode: «пример.рф» превращается в xn--e1afmkfd.xn--p1ai. Это делает сам браузер при обращении к сайту.

Это ситуация, когда уже закодированную строку закодировали ещё раз: знак «%» превратился в %25, и %D0 стал %25D0. Признак - в результате декодирования вы снова видите %-последовательности, а не буквы.

Исправить просто: декодируйте строку повторно. Инструмент сам замечает такой случай и показывает кнопку «Декодировать ещё раз». Чтобы не создавать проблему, кодируйте данные ровно один раз - в том месте, где собираете адрес.

Процентное кодирование записывает байты, а то, какие это буквы, определяет кодировка. Современные сайты используют UTF-8 (буква «п» - %D0%BF), но старые российские сайты и некоторые CMS - windows-1251 (та же буква - %EF), реже KOI8-R. Если выбрана не та кодировка, вместо текста получаются символы замены «�» или нечитаемый набор вроде «РїСЂРёРІРµС‚».

Переключите кодировку - инструмент при ошибке сам определяет, что строка больше похожа на windows-1251 или KOI8-R, и предлагает её одной кнопкой.

В JavaScript - encodeURIComponent и decodeURIComponent; в PHP - rawurlencode/rawurldecode и urlencode/urldecode; в Python - urllib.parse.quote и unquote; в Java - URLEncoder.encode и URLDecoder.decode с явным указанием UTF-8; в C# - Uri.EscapeDataString и Uri.UnescapeDataString; в Go - url.QueryEscape и url.QueryUnescape.

Полная таблица с вызовами для каждого языка приведена выше, в разделе «Как сделать то же в коде». Всегда указывайте кодировку явно: если библиотека берёт её из настроек системы, на другом сервере результат может отличаться.

Нет. Процентное кодирование - это не шифрование и не защита: любой человек раскодирует строку за секунду, в том числе этим же инструментом. Оно лишь делает данные безопасными для передачи в адресе. Пароли и токены в адресной строке небезопасны сами по себе: они остаются в истории браузера, журналах серверов и заголовке Referer.

Стандарт не ограничивает длину адреса, но на практике пределы есть: браузеры и поисковые системы стабильно работают примерно до 2000 символов, веб-серверы по умолчанию принимают строку запроса порядка 8 КБ (в nginx и Apache это настраивается). Учтите, что кодирование удлиняет адрес: каждая русская буква превращается в 6 символов (%D0%BF), поэтому длинные тексты лучше передавать в теле POST-запроса, а не в адресе.

Всё после знака # - якорь (fragment) - обрабатывается только браузером и в запросе к серверу не отправляется. Поэтому его нельзя использовать для передачи данных на сервер, а в значениях параметров символ # обязательно кодируется как %23, иначе остаток строки будет отрезан.

Нет - 100%. Сайт целиком статический, у него нет серверной части, которая могла бы принять текст. Кодирование и декодирование выполняются прямо в вашем браузере.