URL डिकोड करें

वह उलझन जिसे कोई आपके लिए नहीं सुलझा सकता

डिकोडिंग का तरीक़ा सीधा है — हर % के बाद आने वाले दो hex अंक ढूंढें, उन्हें वापस बाइट में बदलें, फिर बाइट्स को UTF-8 के रूप में पढ़ें — और इसमें ठीक एक असली उलझन है। प्लस का निशान स्पेस भी हो सकता है, और प्लस भी। सबमिट किए गए फ़ॉर्म में इसका मतलब स्पेस होता है, एक ऐसी परंपरा से जो वेब के अपने URL स्पेसिफ़िकेशन से भी पुरानी है। पाथ के हिस्से में यह सचमुच का कैरेक्टर है। टेक्स्ट में ख़ुद कुछ नहीं बताता कि कौन-सा नियम लागू है, इसलिए यह पेज एक चुनकर चुपचाप ग़लत होने के बजाय आपको दोनों अर्थ दिखाता है — यह सबसे ज़्यादा वहां मायने रखता है जहां चोट सबसे गहरी लगती है, जैसे ईमेल पता या base64 वैल्यू, जिनमें प्लस असली डेटा होता है।

गैर-ASCII टेक्स्ट हर कैरेक्टर के लिए कई परसेंट सीक्वेंस बनकर आता है, क्योंकि एन्कोडिंग कैरेक्टर पर नहीं, UTF-8 बाइट्स पर काम करती है: मात्रा वाला एक अक्षर दो, ज़्यादातर चिह्न तीन, और एक इमोजी चार सीक्वेंस बनता है। ऐसा सीक्वेंस डिकोड करें जो वैध UTF-8 नहीं है, तो आपको रिप्लेसमेंट कैरेक्टर मिलते हैं — आमतौर पर यह संकेत कि टेक्स्ट किसी दूसरे कैरेक्टर सेट से एन्कोड हुआ था, या किसी कैरेक्टर के बीच में कट गया है।

दो बार डिकोड करना सिर्फ़ ग़लती नहीं, सुरक्षा बग है। अगर कोई वैल्यू डिकोड हो, जांची जाए, और फिर दोबारा डिकोड हो, तो हमलावर जांच से कैरेक्टर छिपा सकता है: %252e%252e%252f “../” ढूंढने वाले फ़िल्टर से निकल जाता है, क्योंकि एक बार डिकोड होने के बाद भी वह %2e%2e%2f ही रहता है, और दूसरी बार के बाद वही ट्रैवर्सल बन जाता है जिसे रोकने के लिए फ़िल्टर लगा था। ठीक एक बार डिकोड करें, फिर जांचें — उल्टे क्रम में कभी नहीं।

जो टेक्स्ट कभी एन्कोड हुआ ही नहीं, वह बिगड़े बिना जस का तस लौटता है — जब आपको पक्का न पता हो कि किसी स्ट्रिंग को डिकोड करने की ज़रूरत है भी या नहीं, तब यही काम का व्यवहार है। जिस परसेंट निशान के बाद दो hex अंक नहीं आते, उसे एरर मानने के बजाय वैसा ही छोड़ दिया जाता है — वह सचमुच का परसेंट है, जो एन्कोड किए गए नहीं बल्कि पेस्ट किए गए टेक्स्ट में आम है।

जब आपको कुछ और चाहिए

कोड में डिकोडर को एन्कोडर से मेल खाना चाहिए। JavaScript में decodeURIComponent है; Python ठीक इसी प्लस-निशान वाले सवाल पर unquote और unquote_plus को अलग रखता है; PHP में इसी वजह से rawurldecode और urldecode हैं। उससे भी बेहतर है कि यह काम URL टाइप या क्वेरी-स्ट्रिंग पार्सर को करने दें — ज़्यादातर फ़्रेमवर्क पैरामीटर आपके लिए डिकोड कर देते हैं, और उसके बाद दोबारा डिकोड करना ही वह तरीक़ा है जिससे ऊपर वाला डबल-डिकोडिंग बग लिखा जाता है।

किसी एक वैल्यू को डिकोड करने के बजाय लंबे URL को जांचना हो, तो डिकोडर से बेहतर पार्सर है: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" पते को उसके हिस्सों में बांट देता है, ताकि कुछ भी डिकोड करने से पहले आप देख सकें कि कौन-सा हिस्सा क्या है — जब कोई लिंक गड़बड़ कर रहा हो, तो असल सवाल आमतौर पर यही होता है।