Ist ein Doppelpunkt `:` sicher für die Verwendung von Friendly-URLs?

Wir entwerfen ein URL-System, das Anwendungsabschnitte als durch Schrägstriche getrennte Wörter angibt. Dies ist insbesondere in GWT der Fall, sodass sich die relevanten Teile der URL im Hash befinden (der von einer Controller-Schicht auf der Clientseite interpretiert wird):

http://site/gwturl#section1/section2

Einige Abschnitte benötigen möglicherweise zusätzliche Attribute, die wir mit a angeben möchten :, damit die Abschnittsteile der URL eindeutig sind. Der Code würde zuerst auf /und dann :wie folgt aufgeteilt:

http://site/gwturl#user:45/comments

Natürlich tun wir dies aus Gründen der URL-Freundlichkeit. Daher möchten wir sicherstellen, dass keines dieser Zeichen, die eine besondere Bedeutung haben, von Browsern oder einem anderen System URL-codiert wird und am Ende eine URL wie diese enthält Dies:

http://site/gwturl#user%3A45/comments <--- BAD

Ist die Verwendung des Doppelpunkts auf diese Weise sicher (was bedeutet, dass er nicht automatisch codiert wird) für Browser, Lesezeichen-Systeme, sogar Javascript oder Java-Code?

Ich habe vor kurzem schrieb einen URL - Encoder, so dass diese ziemlich frisch in meinem Kopf ist.

http://site/gwturl#user:45/comments

Alle Zeichen im Fragmentteil ( user:45/comments) sind für RFC 3986- URIs vollkommen zulässig .

Die relevanten Teile des ABNF :

fragment      = *( pchar / "/" / "?" )
pchar         = unreserved / pct-encoded / sub-delims / ":" / "@"
unreserved    = ALPHA / DIGIT / "-" / "." / "_" / "~"
pct-encoded   = "%" HEXDIG HEXDIG
sub-delims    = "!" / "$" / "&" / "'" / "(" / ")"
                 / "*" / "+" / "," / ";" / "="

Abgesehen von diesen Einschränkungen hat der Fragmentteil keine definierte Struktur, die über die von Ihrer Anwendung angegebene hinausgeht. Das Schema http besagt nur, dass Sie diesen Teil nicht an den Server senden.

BEARBEITEN:

D'oh!

Trotz meiner Behauptungen bezüglich der URI-Spezifikation liefert irreputable die richtige Antwort, wenn er darauf hinweist, dass die HTML 4-Spezifikation Elementnamen / Bezeichner einschränkt .

Beachten Sie, dass sich die Bezeichnerregeln in HTML 5 ändern . URI-Einschränkungen gelten weiterhin (zum Zeitpunkt des Schreibens gibt es einige ungelöste Probleme bei der Verwendung von URIs durch HTML 5).

Denken Sie neben der McDowell-Analyse zum URI-Standard auch daran, dass das Fragment ein gültiger HTML-Ankername sein muss. Laut http://www.w3.org/TR/html4/types.html#type-name

ID- und NAME-Token müssen mit einem Buchstaben ([A-Za-z]) beginnen und können von einer beliebigen Anzahl von Buchstaben, Ziffern ([0-9]), Bindestrichen ("-") und Unterstrichen ("_") gefolgt werden. , Doppelpunkte (":") und Punkte (".").

Sie haben also Glück. ":" ist ausdrücklich erlaubt. Und niemand sollte "%" - entkommen, nicht nur, weil "%" dort ein illegales Zeichen ist, sondern auch, weil das Fragment char-by-char mit dem Ankernamen übereinstimmen muss. Daher sollte kein Agent versuchen, sie in irgendeiner Weise zu manipulieren.

Sie müssen es jedoch testen. Webstandards werden nicht strikt befolgt, manchmal sind die Standards widersprüchlich. Beispielsweise lässt HTTP / 1.1 RFC 2616 keine Abfragezeichenfolge in der Anforderungs-URL zu, während HTML beim Senden eines Formulars mit der GET-Methode eine erstellt. Was auch immer in der realen Welt implementiert ist, gewinnt am Ende des Tages.

MediaWiki und andere Wiki-Engines verwenden Doppelpunkte in ihren URLs, um Namespaces zu kennzeichnen, ohne dass größere Probleme auftreten.

zB http://en.wikipedia.org/wiki/Template:Welcome

Ich würde nicht darauf zählen. Die URL wird wahrscheinlich wie %3Avon vielen Benutzeragenten codiert .

Aus URLEncoderJavadoc:

Weitere Informationen zur HTML-Formularcodierung finden Sie in der HTML- Spezifikation .

Beim Codieren eines Strings gelten die folgenden Regeln:

• Die alphanumerischen Zeichen "a" bis "z", "A" bis "Z" und "0" bis "9" bleiben gleich.
• Die Sonderzeichen ".", "-", "*" und "_" bleiben gleich.
• Das Leerzeichen "" wird in ein Pluszeichen "+" umgewandelt.
• Alle anderen Zeichen sind unsicher und werden zuerst mithilfe eines Codierungsschemas in ein oder mehrere Bytes konvertiert. Dann wird jedes Byte durch die 3-stellige Zeichenfolge "% xy" dargestellt, wobei xy die zweistellige hexadezimale Darstellung des Bytes ist. Das empfohlene Codierungsschema ist UTF-8. Wenn jedoch aus Kompatibilitätsgründen keine Codierung angegeben ist, wird die Standardcodierung der Plattform verwendet.

Das heißt, :ist nicht sicher.

Ich sehe nicht, dass Firefox oder IE8 einige der Wikipedia- URLs codieren , die das Zeichen enthalten.

Doppelpunkte werden als Aufteilung zwischen Benutzername und Kennwort verwendet, wenn für ein Protokoll eine Authentifizierung erforderlich ist.

Doppelpunkt ist nicht sicher. Siehe hier

Es ist kein sicheres Zeichen und wird verwendet, um zu unterscheiden, mit welchem ​​Port Sie eine Verbindung herstellen, wenn er sich direkt nach Ihrem Domainnamen befindet