Codificar URL

Tres respuestas correctas, y por qué un solo botón se equivoca

La codificación porcentual reemplaza un carácter por un % y su valor de byte en hexadecimal. La especificación divide los caracteres en tres grupos, y todo lo confuso de este tema viene de ahí. Los caracteres no reservados (letras, dígitos, guion, punto, guion bajo y virgulilla) nunca necesitan codificarse. Los caracteres reservados (las barras, signos de interrogación, signos &, signos igual y dos puntos que dan estructura a una URL) deben codificarse *cuando son datos* y no deben codificarse *cuando son estructura*. Todo lo demás se codifica siempre.

Por eso no hay una única respuesta correcta. Codificar una URL completa tiene que dejar intactas las barras y el signo de interrogación, o la dirección deja de ser una dirección. Codificar un valor para ponerlo en un parámetro de consulta debe escapar los signos & y los signos igual, o un valor que contenga uno se parte en dos parámetros. Codificar un segmento de ruta debe escapar las barras, o un nombre de archivo con una barra se convierte en dos directorios. Un solo botón de “Codificar” elige uno de estos casos y se equivoca en los otros dos tercios, normalmente sin avisar y de una forma que solo aparece con entradas poco comunes.

El espacio es el carácter con más historia a cuestas. En una URL es %20. En un formulario HTML enviado es un +, que es una codificación distinta y más antigua que sobrevive porque los formularios funcionan así desde 1994. Las dos son correctas en su propio contexto y ninguna lo es en el otro, y por eso un signo más en una query string es ambiguo de una forma que ningún cuidado al codificar puede resolver.

El texto que no es ASCII se codifica primero como UTF-8 y luego byte a byte, así que una sola letra acentuada se convierte en dos secuencias porcentuales y un emoji en cuatro. La doble codificación es el error clásico: codificar algo que ya estaba codificado convierte cada % en %25, así que %20 pasa a ser %2520 y el otro extremo recibe un signo de porcentaje literal. Si una URL está llena de %25, pasó por un codificador de más.

Si buscas otra cosa

En código, usa la función propia del lenguaje y elígela con el mismo cuidado con que esta página te hace elegir. JavaScript tiene encodeURI para direcciones completas y encodeURIComponent para valores; Python tiene urllib.parse.quote con un argumento safe que por defecto deja intactas las barras; PHP distingue rawurlencode de urlencode, que difieren justamente en la cuestión de espacio frente a signo más de la que hablamos arriba. Mejor aún: construye las URL con un tipo URL en lugar de juntar cadenas, y la pregunta desaparece.

En la línea de comandos, jq -rR @uri codifica de forma segura y maneja una lista, y curl --data-urlencode arma un parámetro correctamente codificado sin que tengas que pensar en cuál de los tres casos estás, que es el único lugar donde esto es realmente fácil.