URL kodieren

Drei richtige Antworten – und warum ein einziger Button falsch ist

Die Prozentkodierung ersetzt ein Zeichen durch ein % und seinen Bytewert in Hex. Die Spezifikation teilt Zeichen in drei Gruppen ein, und alles Verwirrende daran folgt aus dieser Einteilung. Nicht reservierte Zeichen – Buchstaben, Ziffern, Bindestrich, Punkt, Unterstrich und Tilde – müssen nie kodiert werden. Reservierte Zeichen – die Schrägstriche, Fragezeichen, kaufmännischen Und-Zeichen, Gleichheitszeichen und Doppelpunkte, die einer URL ihre Struktur geben – müssen kodiert werden, *wenn sie Daten sind*, und dürfen es nicht, *wenn sie Struktur sind*. Alles andere wird immer kodiert.

Deshalb gibt es keine einzige richtige Antwort. Beim Kodieren einer ganzen URL müssen Schrägstriche und Fragezeichen unangetastet bleiben, sonst ist die Adresse keine Adresse mehr. Beim Kodieren eines Werts für einen Query-Parameter müssen kaufmännische Und-Zeichen und Gleichheitszeichen maskiert werden, sonst zerfällt ein Wert, der eines enthält, in zwei Parameter. Beim Kodieren eines Pfadsegments müssen Schrägstriche maskiert werden, sonst wird aus einem Dateinamen mit Schrägstrich ein Pfad über zwei Verzeichnisse. Ein einzelner Kodieren-Button wählt einen dieser Fälle und liegt in den anderen zwei Dritteln falsch – meist unbemerkt und meist so, dass es erst bei ungewöhnlichen Eingaben auffällt.

Das Leerzeichen ist das Zeichen mit der meisten Geschichte. In einer URL ist es %20. In einem abgesendeten HTML-Formular ist es ein + – eine eigene, ältere Kodierung, die überlebt hat, weil Formulare seit 1994 so funktionieren. Beide sind in ihrem eigenen Kontext richtig und im jeweils anderen falsch, weshalb ein Pluszeichen in einem Query-String auf eine Weise mehrdeutig ist, die keine noch so sorgfältige Kodierung auf der sendenden Seite beheben kann.

Nicht-ASCII-Text wird zuerst als UTF-8 und dann Byte für Byte kodiert, sodass ein einzelner Buchstabe mit Akzent oder Umlaut zu zwei Prozentsequenzen wird und ein Emoji zu vier. Doppelte Kodierung ist der klassische Fehler: Wer etwas bereits Kodiertes erneut kodiert, macht aus jedem % ein %25, sodass aus %20 ein %2520 wird und die Gegenseite ein wörtliches Prozentzeichen erhält. Wenn eine URL voller %25 ist, ist sie durch einen Encoder zu viel gelaufen.

Wenn Sie etwas anderes brauchen

Im Code verwenden Sie die eigene Funktion der Sprache und wählen sie so bewusst, wie diese Seite Sie wählen lässt. JavaScript hat encodeURI für ganze Adressen und encodeURIComponent für Werte; Python hat urllib.parse.quote mit einem safe-Argument, das Schrägstriche standardmäßig unangetastet lässt; PHP unterscheidet rawurlencode von urlencode, die sich genau in der oben beschriebenen Frage Leerzeichen gegen Plus unterscheiden. Noch besser: URLs mit einem URL-Typ zusammensetzen statt durch Aneinanderhängen von Strings – dann stellt sich die Frage gar nicht.

Auf der Kommandozeile kodiert jq -rR @uri sicher und kommt mit einer Liste zurecht, und curl --data-urlencode baut einen korrekt kodierten Parameter, ohne dass Sie überlegen müssen, in welchem der drei Fälle Sie sich befinden – die einzige Stelle, an der das wirklich einfach ist.