URL dekodieren

Die Mehrdeutigkeit, die Ihnen niemand abnehmen kann

Dekodieren ist technisch einfach – jedes % mit zwei folgenden Hex-Ziffern suchen, wieder in ein Byte verwandeln und die Bytes dann als UTF-8 lesen –, und es gibt genau eine echte Mehrdeutigkeit. Ein Pluszeichen kann ein Leerzeichen bedeuten oder ein Plus. In einem abgesendeten Formular bedeutet es ein Leerzeichen, nach einer Konvention, die älter ist als die URL-Spezifikation des Webs selbst. In einem Pfadsegment ist es ein wörtliches Zeichen. Nichts im Text selbst verrät, was gilt, also zeigt Ihnen die Seite beide Lesarten, statt eine zu wählen und unbemerkt falschzuliegen – was vor allem dort zählt, wo es am meisten schadet: bei einer E-Mail-Adresse oder einem Base64-Wert, in dem ein Plus echte Daten ist.

Nicht-ASCII-Text kommt als mehrere Prozentsequenzen pro Zeichen an, weil die Kodierung mit UTF-8-Bytes arbeitet und nicht mit Zeichen: ein Buchstabe mit Akzent oder Umlaut sind zwei, die meisten Symbole drei, ein Emoji vier. Wer eine Sequenz dekodiert, die kein gültiges UTF-8 ist, erhält Ersatzzeichen – meist ein Zeichen dafür, dass der Text aus einem anderen Zeichensatz kodiert wurde oder mitten in einem Zeichen abgeschnitten ist.

Doppeltes Dekodieren ist eine Sicherheitslücke, nicht nur ein Versehen. Wird ein Wert dekodiert, geprüft und dann erneut dekodiert, kann ein Angreifer Zeichen vor der Prüfung verstecken: %252e%252e%252f kommt an einem Filter vorbei, der nach „../“ sucht, weil es nach einem Durchgang noch %2e%2e%2f ist – und nach dem zweiten genau der Verzeichniswechsel, den der Filter verhindern sollte. Dekodieren Sie genau einmal, validieren Sie danach, und nie in umgekehrter Reihenfolge.

Text, der nie kodiert war, kommt unverändert zurück statt verstümmelt – das nützliche Verhalten, wenn Sie gar nicht sicher sind, ob ein String dekodiert werden muss. Ein Prozentzeichen ohne zwei folgende Hex-Ziffern bleibt stehen, statt als Fehler behandelt zu werden – das ist ein wörtliches Prozent, häufig in Text, der eingefügt statt kodiert wurde.

Wenn Sie etwas anderes brauchen

Im Code sollte der Decoder zum Encoder passen. JavaScript hat decodeURIComponent; Python trennt unquote von unquote_plus, genau wegen der Pluszeichen-Frage; PHP hat aus demselben Grund rawurldecode und urldecode. Noch besser: Überlassen Sie das einem URL-Typ oder einem Query-String-Parser – die meisten Frameworks dekodieren Parameter für Sie, und ein erneutes Dekodieren danach ist genau der Weg, auf dem der oben beschriebene Doppel-Dekodierungsfehler entsteht.

Um eine lange URL zu untersuchen, statt einen Wert zu dekodieren, ist ein Parser besser als ein Decoder: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" zerlegt eine Adresse in ihre Bestandteile, sodass Sie vor dem Dekodieren sehen, welches Stück welches ist – und das ist meist die eigentliche Frage, wenn ein Link nicht funktioniert.