Erklärte URL-Kodierung: Warum Leerzeichen zu %20 werden

Sie haben es in Webadressen gesehen: %20, wo ein Leerzeichen stehen sollte, oder %3D anstelle eines Gleichheitszeichens. Das ist URL-Kodierung (auch Prozentkodierung genannt), und obwohl sie wie Kauderwelsch aussieht, löst sie ein echtes Problem, das das Web am Laufen hält. Hier ist, was los ist.

Warum URLs kodiert werden müssen

URLs können nur einen begrenzten Satz an Zeichen enthalten – Buchstaben, Ziffern und einige Symbole. Viele Zeichen haben eine besondere Bedeutung (? startet eine Abfragezeichenfolge, & trennt Parameter, / trennt Pfadsegmente) oder sind überhaupt nicht erlaubt (Leerzeichen). Wenn Sie diese Zeichen unverändert in eine URL einfügen, geraten Browser und Server durcheinander. Die Codierung ersetzt sie durch eine sichere Darstellung.

Wie es funktioniert

Prozentkodierung ersetzt ein unsicheres Zeichen durch einen %, gefolgt von seinem zweistelligen hexadezimalen Bytewert. Ein Leerzeichen ist Byte 32, also 20 im Hexadezimalformat – daher %20. Ein Gleichheitszeichen wird zu %3D, ein kaufmännisches Und zu %26 und so weiter. Kodieren oder dekodieren Sie beliebige Zeichenfolgen sofort mit unserem URL-Encoder und URL-Decoder.

Ein praktisches Beispiel

Angenommen, Sie möchten eine Such-URL für „Café & Bar“. Das Leerzeichen und das kaufmännische Und müssen codiert werden:

https://example.com/search?q=caf%C3%A9%20%26%20bar

Beachten Sie, dass „é“ zu %C3%A9 wurde – Nicht-ASCII-Zeichen werden als ihre UTF-8-Bytes codiert, die mehr als ein Prozentpaar sein können. Die MDN-Prozentkodierungsreferenz deckt die Details ab.

Wo es darauf ankommt

• Abfrageparameter: Benutzereingaben in der Suche und in Formularen müssen codiert werden, damit Sonderzeichen die URL nicht beschädigen.
• APIs: Die Übergabe von Werten in einer URL erfordert eine Codierung, um gültig zu bleiben.
• Links mit Tracking: Kampagnen-URLs enthalten häufig codierte Werte.

Häufige Fallstricke

Zwei große Probleme: doppelte Kodierung (Kodierung einer bereits kodierten Zeichenfolge, Umwandlung von %20 in %2520) und das Vergessen, Benutzereingaben zu kodieren, wodurch Links beschädigt oder Sicherheitslücken geöffnet werden können. Entschlüsseln Sie im Zweifelsfall eine URL, um zu überprüfen, was sie wirklich enthält.

Reservierte vs. nicht reservierte Zeichen

Nicht jedes Zeichen muss kodiert werden. Der Standard definiert unreservierte Zeichen – Buchstaben, Ziffern und - _ . ~ – die immer sicher sind, so wie sie sind. Reservierte Zeichen wie / ? # & = haben in einer URL eine besondere strukturelle Bedeutung, daher müssen sie codiert werden, wenn sie als Daten und nicht als Trennzeichen verwendet werden. Das ist der Kernpunkt, warum Sie Benutzereingaben kodieren: Ein Suchbegriff, der „&“ enthält, muss zu %26 werden, sonst würde das „&“ fälschlicherweise als Beginn eines neuen Parameters interpretiert.

Pluszeichen und die Leerzeichenverwirrung

Ein klassisches Problem: In der Abfragezeichenfolge älterer Formularübermittlungen wird ein Leerzeichen manchmal als + statt als %20 codiert, da HTML-Formulardaten (das application/x-www-form-urlencoded-Format) früher so funktionierten. Im Pfad einer URL ist ein Leerzeichen immer %20 und ein wörtliches + bedeutet ein Plus. Diese Aufteilung ist der Grund, warum derselbe „Raum“ auf zwei Arten erscheinen kann und warum die Dekodierung des falschen Kontexts Daten beschädigen kann. Im Zweifelsfall dekodieren und prüfen.

Verschlüsselung und Sicherheit

Bei der richtigen Kodierung geht es nicht nur um gültige Links – es ist eine Sicherheitsgrenze. Wenn Benutzereingaben, die in einer URL enden, nicht kodiert (oder validiert) werden, kann dies zu Injektionsangriffen und fehlerhaften Weiterleitungen führen. Frameworks bieten normalerweise integrierte Kodierungsfunktionen. Verwenden Sie sie, anstatt sie manuell zu erstellen, und vertrauen Sie niemals rohen Benutzereingaben in einer URL. Durch die richtige Kodierung bleiben sowohl Ihre Links gültig als auch Ihre App sicherer.

Fazit

Bei der URL-Kodierung werden unsichere Zeichen gegen einen % plus ihren Hex-Byte-Wert ausgetauscht, sodass URLs unabhängig davon, was sie enthalten, gültig bleiben. Leerzeichen werden zu %20, Sonderzeichen erhalten ihre eigenen Codes und Nicht-ASCII-Zeichen verwenden ihre UTF-8-Bytes. Kodieren Sie Benutzereingaben, vermeiden Sie doppelte Kodierung und verwenden Sie ein Tool zur Überprüfung – und diese kryptischen Prozentzeichen sind kein Rätsel mehr.