Mã hóa URL

Ba đáp án đúng, và vì sao một nút bấm là sai

Percent-encoding thay một ký tự bằng dấu % và giá trị byte của nó ở dạng hex. Đặc tả chia ký tự thành ba nhóm, và mọi điều khó hiểu ở đây đều bắt nguồn từ đó. Các ký tự không dành riêng (unreserved) — chữ cái, chữ số, gạch nối, dấu chấm, gạch dưới và dấu ngã — không bao giờ cần mã hóa. Các ký tự dành riêng (reserved) — dấu gạch chéo, dấu hỏi, dấu &, dấu bằng và dấu hai chấm tạo nên cấu trúc của URL — phải được mã hóa *khi chúng là dữ liệu* và không được mã hóa *khi chúng là cấu trúc*. Mọi ký tự khác luôn được mã hóa.

Đó là lý do không có một đáp án đúng duy nhất. Mã hóa cả một URL phải giữ nguyên dấu gạch chéo và dấu hỏi, nếu không địa chỉ sẽ không còn là địa chỉ. Mã hóa một giá trị để đưa vào tham số query phải thoát dấu & và dấu bằng, nếu không một giá trị chứa chúng sẽ bị tách thành hai tham số. Mã hóa một đoạn đường dẫn phải thoát dấu gạch chéo, nếu không một tên file có dấu gạch chéo sẽ thành hai thư mục. Một nút Mã hóa duy nhất chỉ chọn một trong ba cách đó và sai trong hai phần ba trường hợp còn lại — thường là âm thầm, và thường theo kiểu chỉ lộ ra với dữ liệu đầu vào khác thường.

Dấu cách là ký tự có nhiều lịch sử nhất. Trong URL nó là %20. Trong một biểu mẫu HTML được gửi đi, nó là +, một kiểu mã hóa riêng, cũ hơn, vẫn tồn tại vì biểu mẫu đã hoạt động như vậy từ năm 1994. Cả hai đều đúng trong ngữ cảnh của mình và không cái nào đúng trong ngữ cảnh của cái kia, đó là lý do dấu cộng trong query string mơ hồ theo cách mà cẩn thận đến đâu ở phía mã hóa cũng không khắc phục được.

Văn bản không phải ASCII được mã hóa thành UTF-8 trước rồi mới mã hóa từng byte, nên một chữ cái có dấu thành hai chuỗi phần trăm còn một emoji thành bốn. Mã hóa hai lần là lỗi kinh điển: mã hóa thứ đã được mã hóa sẽ biến mọi dấu % thành %25, nên %20 thành %2520 và phía bên kia nhận được một dấu phần trăm theo đúng nghĩa đen. Nếu một URL đầy %25, nó đã đi qua bộ mã hóa thừa một lần.

Khi bạn cần công cụ khác

Trong code, hãy dùng hàm có sẵn của ngôn ngữ và chọn nó một cách có chủ đích như trang này bắt bạn làm. JavaScript có encodeURI cho cả địa chỉ và encodeURIComponent cho giá trị; Python có urllib.parse.quote với tham số safe mặc định giữ nguyên dấu gạch chéo; PHP phân biệt rawurlencode với urlencode, hai hàm khác nhau đúng ở vấn đề dấu cách hay dấu cộng nói trên. Tốt hơn nữa, hãy tạo URL bằng một kiểu dữ liệu URL thay vì ghép chuỗi, và câu hỏi này sẽ biến mất.

Trên dòng lệnh, jq -rR @uri mã hóa an toàn và xử lý được cả danh sách, còn curl --data-urlencode tạo tham số được mã hóa đúng mà bạn không cần nghĩ mình đang ở trường hợp nào trong ba trường hợp — đó là nơi duy nhất việc này thực sự dễ dàng.