Чи двокрапка `:` безпечна для дружнього використання URL-адреси?

Ми розробляємо URL-систему, яка визначатиме розділи програми як слова, розділені косою рисою. Зокрема, це в GWT, тому відповідні частини URL-адреси будуть знаходитись у хеші (що буде інтерпретуватися рівнем контролера на стороні клієнта):

http://site/gwturl#section1/section2

У деяких розділах можуть знадобитися додаткові атрибути, які ми хотіли б вказати за допомогою а :, щоб частини розділів URL-адреси були однозначними. Код розділиться спочатку /, а потім :так:

http://site/gwturl#user:45/comments

Звичайно, ми робимо це для зручності до URL-адрес, тому ми хотіли б переконатися, що жоден із цих символів, які матимуть особливе значення, не буде кодований URL-адресами у браузерах чи будь-якій іншій системі, і в кінцевому підсумку має такий URL-адреса це:

http://site/gwturl#user%3A45/comments <--- BAD

Чи безпечно використовувати двокрапку (як я маю на увазі, не буде автоматично кодуватися) для браузерів, систем закладки, навіть Javascript або Java-коду?

Нещодавно я написав кодер URL, так що це досить свіже на мою думку.

http://site/gwturl#user:45/comments

Усі символи у фрагменті (( user:45/comments) є абсолютно законними для URI RFC 3986) .

Відповідні частини АБНФ :

fragment      = *( pchar / "/" / "?" )
pchar         = unreserved / pct-encoded / sub-delims / ":" / "@"
unreserved    = ALPHA / DIGIT / "-" / "." / "_" / "~"
pct-encoded   = "%" HEXDIG HEXDIG
sub-delims    = "!" / "$" / "&" / "'" / "(" / ")"
                 / "*" / "+" / "," / ";" / "="

Крім цих обмежень, фрагментна частина не має визначеної структури, крім тієї, яку надає ваша програма. Схема, http, говорить лише про те, що ви не надсилаєте цю частину серверу.

Редагувати:

D'oh!

Незважаючи на мої твердження про специфікацію URI, незаперечний дає правильну відповідь, коли він вказує, що специфікація HTML 4 обмежує імена / ідентифікатори елементів .

Зауважте, що правила ідентифікаторів змінюються в HTML 5 . Обмеження щодо URI все ще застосовуватимуться (під час написання, деякі невирішені проблеми використання URI в HTML 5).

На додаток до аналізу McDowell щодо стандарту URI, пам’ятайте також, що фрагмент повинен бути дійсним ім'ям HTML-якоря. Відповідно до http://www.w3.org/TR/html4/types.html#type-name

Токени ідентифікатора та імені NAME повинні починатися з літери ([A-Za-z]) і може супроводжуватися будь-якою кількістю літер, цифр ([0-9]), дефісів ("-"), підкреслення ("_") , двокрапки (":") та періоди (".").

Тож вам пощастило. ":" явно дозволено. І ніхто не повинен "%" - уникати цього не лише тому, що "%" є незаконним знаком там, а й тому, що фрагмент повинен відповідати якорному імені char-by-char, тому жоден агент не повинен намагатися втручатися в них жодним чином.

Однак вам доведеться це протестувати. Веб-стандарти не дотримуються суворо, іноді стандарти суперечать один одному. Наприклад, HTTP / 1.1 RFC 2616 не дозволяє рядок запиту в URL-адресі запиту, в той час як HTML створює його під час подання форми методом GET. Незалежно від реального світу виграє в кінці дня.

MediaWiki та інші вікі-двигуни використовують кольори у своїх URL-адресах для позначення просторів імен, очевидно, не виникає великих проблем.

наприклад, http://en.wikipedia.org/wiki/Template: Вітаю

Я б на це не розраховував. Ймовірно, URL-код буде закодований, як %3Aі багато користувачів-агенти.

Від URLEncoderjavadoc:

Для отримання додаткової інформації про кодування HTML-форм зверніться до специфікації HTML .

При кодуванні рядка застосовуються такі правила:

• Буквено-цифрові символи "a" через "z", "A" через "Z" і "0" до "9" залишаються однаковими.
• Спеціальні символи ".", "-", "*" та "_" залишаються однаковими.
• Пробільний символ "" перетворюється в знак "+".
• Усі інші символи небезпечні і спочатку перетворюються в один або кілька байтів за допомогою певної схеми кодування. Тоді кожен байт представлений 3-символьним рядком "% xy", де xy - двоцифрове шестизначне представлення байта. Рекомендована схема кодування для використання - UTF-8. Однак з міркувань сумісності, якщо кодування не вказано, використовується кодування за замовчуванням платформи.

Тобто не :є безпечним.

Я не бачу Firefox або IE8, що кодують деякі URL-адреси Вікіпедії, які містять символ.

Колони використовуються як розділення між іменем користувача та паролем, якщо протокол вимагає автентифікації.

Колон не є безпечним. Дивіться тут

Він не є безпечним символом і використовується для розрізнення того, до якого порту ви підключаєтесь, коли він знаходиться безпосередньо після вашого доменного імені