Чи кодую амперсанди в <a href…>?

Я пишу код, який автоматично генерує HTML, і я хочу, щоб він правильно кодував речі.

Скажіть, я створюю посилання на таку URL-адресу:

http://www.google.com/search?rls=en&q=stack+overflow

Я припускаю, що всі значення атрибутів повинні бути кодованими HTML. (Будь ласка, виправте мене, якщо я помиляюся.) Отже, це означає, що якщо я ввожу вищевказану URL-адресу в якірний тег, я повинен кодувати ampersand як &, як це:

<a href="http://www.google.com/search?rls=en&amp;q=stack+overflow">

Це правильно?

Так. Суб'єкти HTML розбираються всередині атрибутів HTML, і бродячий &створив би неоднозначність. Саме тому ви завжди повинні написати &замість того , щоб тільки &всередині всіх HTML - атрибутів.

Це сказало, що тільки &і цитати потрібно закодувати. Якщо у вас éв атрибуті є спеціальні символи , вам не потрібно кодувати ті, щоб задовольнити HTML-аналізатор.

Раніше було так, що URL-адреси потребували спеціального лікування з символами, що не належать до ASCII é. Вам довелося кодувати тих, хто використовує відсоткові втечі, і в цьому випадку це дасть %C3%A9, оскільки вони були визначені RFC 1738 . Однак RFC 1738 витіснили RFC 3986 (URI, Уніфіковані ідентифікатори ресурсів) та RFC 3987 (IRI, Інтернаціоналізовані ідентифікатори ресурсів), на яких WhatWG базував свою роботу, щоб визначити, як слід вести себе браузерам, коли вони бачать URL-адресу з не-ASCII символів у ньому з HTML5 . Тому тепер безпечно включати символи, що не належать до ASCII, в URL-адреси, відсотково закодовані чи ні.

Згідно з чинними офіційними HTML-рекомендаціями, амперсанд потрібно уникати, наприклад, як &у цьому контексті. Однак браузери цього не вимагають, і в HTML5 CR пропонується зробити це правилом , щоб у значеннях атрибутів застосовувалися спеціальні правила. Поточні валідатори HTML5 застаріли в цьому відношенні (див. Звіт про помилки з коментарями).

Залишатиметься можливим уникнути амперсандів у значеннях атрибутів, але окрім перевірки чинними інструментами, практичної потреби уникнути їх у hrefзначеннях немає (і невеликий ризик помилитися, якщо ви почнете уникати їх).

Я публікую нову відповідь, тому що я вважаю, що у відповіді zneak не вистачає прикладів, не показано обробку HTML та URI як різних аспектів та стандартів, а деякі незначні речі відсутні.

У вас є два стандарти щодо URL-адрес у посиланнях ( <a href).

Перший стандарт - RFC 1866 (HTML 2.0), де в розділі "3.2.1. Символи даних" ви можете прочитати символи, які потрібно уникнути, використовуючи як значення для атрибута HTML. (Атрибути самі по собі взагалі не дозволяють використовувати спеціальні символи, наприклад, <a hr&ef="http://...це не дозволено, також немає <a hr&amp;ef="http://....)

Пізніше це перейшло у стандарт HTML 4 , символи, від яких вам потрібно уникнути, є:

<   to   &lt;
>   to   &gt;
&   to   &amp;
"   to   &quote;
'   to   &apos;

Інший стандарт - RFC 3986 "Загальний стандарт URI", де обробляються URL-адреси (це відбувається, коли браузер збирається перейти за посиланням, оскільки користувач натиснув на елемент HTML).

reserved    = gen-delims / sub-delims

gen-delims  = ":" / "/" / "?" / "#" / "[" / "]" / "@"

sub-delims  = "!" / "$" / "&" / "'" / "(" / ")" / "*" / "+" / "," / ";" / "="

Важливо уникати цих символів, щоб клієнт знав, наскільки вони представляють дані або роздільник.

Приклад без нагляду:

https://example.com/?user=test&password&te&st&goto=https://google.com

Наприклад, повністю законна URL-адреса

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

Приклад повністю законної URL-адреси у значенні атрибута HTML:

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

Також важливі сценарії:

• Javascript як значення:

  <img src="..." onclick="window.location.href = &quot;https://example.com/?user=test&amp;password&amp;te%26st&amp;goto=https%3A%2F%2Fgoogle.com&quot;;">...</a>(Так, ;;правильно.)

• JSON як значення:

  <a href="..." data-analytics="{&quot;event&quot;: &quot;click&quot;}">...</a>

• Уникнуті речі всередині втечених речей, подвійне кодування, URL всередині параметра і т.д., ...

  http://x.com/?passwordUrl=http%3A%2F%2Fy.com%2F%3Fuser%3Dtest&password=""123

Так, ви повинні перейти &в &.

Цей інструмент перевірки html від W3C корисний для таких питань. Він розповість про помилки та застереження для певної сторінки.