Decodificar URL

A ambiguidade que nada consegue resolver por você

Decodificar é mecanicamente simples — encontrar cada % seguido de dois dígitos hexadecimais, transformá-lo de volta em um byte e depois ler os bytes como UTF-8 — e tem exatamente uma ambiguidade real. Um sinal de mais pode significar um espaço, ou pode significar um mais. Em um formulário enviado, significa espaço, por uma convenção mais antiga que a própria especificação de URLs da web. Em um segmento de caminho, é um caractere literal. Nada no próprio texto diz qual vale, então a página mostra as duas leituras em vez de escolher uma e errar em silêncio — o que importa mais justamente no caso em que isso dói mais: um endereço de e-mail ou um valor Base64, em que o mais é dado de verdade.

Texto fora do ASCII chega como várias sequências de porcentagem por caractere, porque a codificação trabalha com bytes UTF-8, e não com caracteres: uma letra acentuada vira duas, a maioria dos símbolos três, um emoji quatro. Decodifique uma sequência que não é UTF-8 válido e você recebe caracteres de substituição — geralmente sinal de que o texto foi codificado a partir de outro conjunto de caracteres, ou de que foi cortado no meio de um caractere.

Decodificar duas vezes é uma falha de segurança, não apenas um engano. Se um valor é decodificado, verificado e depois decodificado de novo, um invasor consegue esconder caracteres da verificação: %252e%252e%252f passa por um filtro que procura “../” porque, depois de uma passada, ainda é %2e%2e%2f, e depois da segunda é exatamente o path traversal que o filtro deveria barrar. Decodifique exatamente uma vez, depois valide, e nunca na ordem inversa.

Texto que nunca foi codificado volta sem alterações, em vez de estragado, o que é o comportamento útil quando você não tem certeza se uma string precisa mesmo ser decodificada. Um sinal de porcentagem que não é seguido de dois dígitos hexadecimais fica como está, em vez de ser tratado como erro — é um porcento literal, comum em texto que foi colado, e não codificado.

Quando você precisa de outra coisa

No código, o decodificador deve combinar com o codificador. O JavaScript tem decodeURIComponent; o Python separa unquote de unquote_plus justamente por causa da questão do sinal de mais; o PHP tem rawurldecode e urldecode pelo mesmo motivo. Melhor ainda: deixe um tipo URL ou um parser de query string fazer isso — a maioria dos frameworks já decodifica os parâmetros para você, e decodificar de novo depois é exatamente como se escreve o bug de decodificação dupla descrito acima.

Para inspecionar uma URL longa, e não decodificar um valor, um parser é melhor que um decodificador: python -c "import urllib.parse,sys; print(urllib.parse.urlparse(sys.argv[1]))" separa um endereço em partes para você ver qual pedaço é qual antes de decodificar qualquer coisa, que costuma ser a pergunta real quando um link está se comportando mal.