Decodificar URL

La ambigüedad que nadie puede resolver por ti

Decodificar es mecánicamente sencillo (se busca cada % seguido de dos dígitos hexadecimales, se convierte de nuevo en un byte y luego se leen los bytes como UTF-8) y tiene exactamente una ambigüedad real. Un signo más puede significar un espacio o puede significar un más. En un formulario enviado significa un espacio, por una convención más antigua que la propia especificación de URL de la web. En un segmento de ruta es un carácter literal. Nada en el texto indica cuál de las dos aplica, así que la página te muestra ambas lecturas en lugar de elegir una y equivocarse sin avisar, algo que importa sobre todo en el caso donde más duele: una dirección de correo o un valor en Base64 en los que el más es un dato real.

El texto que no es ASCII llega como varias secuencias de porcentaje por carácter, porque la codificación trabaja con los bytes de UTF-8 y no con caracteres: una letra con tilde son dos, la mayoría de los símbolos tres y un emoji cuatro. Si decodificas una secuencia que no es UTF-8 válido, obtienes caracteres de reemplazo, normalmente señal de que el texto se codificó desde otro juego de caracteres o de que se cortó a mitad de un carácter.

Decodificar dos veces es un fallo de seguridad, no solo un error. Si un valor se decodifica, se comprueba y luego se vuelve a decodificar, un atacante puede ocultar caracteres a la comprobación: %252e%252e%252f pasa un filtro que busca "../" porque tras una pasada sigue siendo %2e%2e%2f, y tras la segunda es justo el recorrido de directorios que el filtro debía impedir. Decodifica exactamente una vez, luego valida, y nunca en el orden inverso.

El texto que nunca se codificó vuelve sin cambios, no destrozado, que es justo lo útil cuando no sabes si una cadena necesita decodificarse. Un signo de porcentaje que no va seguido de dos dígitos hexadecimales se deja tal cual en lugar de tratarse como un error: es un porcentaje literal, algo habitual en texto que se pegó en lugar de codificarse.

Si buscas otra cosa

En código, el decodificador debe corresponder al codificador. JavaScript tiene decodeURIComponent; Python separa unquote de unquote_plus justamente por la cuestión del signo más; PHP tiene rawurldecode y urldecode por la misma razón. Mejor aún, deja que lo haga un tipo URL o un analizador de cadenas de consulta: la mayoría de los frameworks ya decodifican los parámetros por ti, y volver a decodificarlos después es exactamente como se escribe el fallo de doble decodificación de arriba.

Para inspeccionar una URL larga en lugar de decodificar un valor, un analizador es mejor que un decodificador: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" separa una dirección en sus partes para que veas qué pieza es cuál antes de decodificar nada, que suele ser la verdadera pregunta cuando un enlace no funciona bien.