URL エンコード・デコード・解析

よくある質問

encodeURI と encodeURIComponent の違いは何ですか？

encodeURIComponent は / ? & = など URL で意味を持つ文字をすべてエスケープするため、単一のパラメーター値に使います。encodeURI はそれらの文字を残すため、URL 全体がそのまま使えます。「保持」オプションで両者を切り替えられます。

スペースが + になったり %20 になったりするのはなぜですか？

HTML フォームのクエリ文字列ではスペースは + と書かれ、URL のそれ以外の部分では %20 になります。フォームデータをデコードするときは「+ をスペースとして扱う」をオンにしてください。

「壊れたパーセントエスケープ」とはどういう意味ですか？

% の後には 16 進数 2 桁が必要で、マルチバイト文字にはすべてのバイトが必要です。%E2%82 のようにエスケープの途中で切れたテキストはデコードできません。

URL のパスはクエリと違う方法でエンコードすべきですか？

ほとんど同じ規則が適用されますが、違いが 2 つあります。パスでは / がセグメントを区切るため、各セグメントを個別にエンコードし、名前の中のスラッシュは %2F になります。また、パスでは + は文字どおりのプラスですが、フォームエンコードされたクエリ文字列ではスペースとして読まれます。

URL の長さに上限はありますか？

標準では上限は定められていませんが、実用上の上限はあります。ブラウザーは非常に長い URL も扱えますが、サーバー、プロキシ、CDN はリクエスト行を 8 KB 程度に制限していることが多く、414 URI Too Long を返します。URL は約 2,000 文字以内に抑え、大きなデータは POST のボディで送ってください。

トークンやメールアドレスを URL に入れても安全ですか？

避けてください。URL は、サーバーのログ、プロキシのログ、ブラウザーの履歴、他のサイトに送られる Referer ヘッダーに残ります。パーセントエンコードは誰でもデコードできるため、何も隠せません。トークンは Authorization ヘッダーで、個人データは POST のボディで送ってください。