制作 URL 的安全字符是什么？

Question

我正在创建一个包含文章的网站，我需要文章根据标题具有“友好”的 URL。

例如，如果我的文章标题是"Article Test"，我希望URL 是http://www.example.com/articles/article_test。

但是，文章标题（作为任何字符串）可以包含多个特殊字符，这些字符无法在我的 URL 中按字面意思输入。例如，我知道? 或# 需要替换，但我不知道所有其他的。

URL 中允许使用哪些字符？什么东西可以安全保存？

Answer 1

引用RFC 3986的第2.3节：

URI 中允许的字符，但没有保留字符 目的，称为无保留。这些包括大写和小写 字母、十进制数字、连字符、句点、下划线和波浪号。

  ALPHA  DIGIT  "-" / "." / "_" / "~"

请注意，与旧的 RFC 2396 相比，RFC 3986 列出的保留标点符号更少。

Answer 2

您需要注意两组字符：reserved 和 unsafe。

保留字符是：

• 和号（“&”）
• 美元（“$”）
• 加号（“+”）
• 逗号 (",")
• 正斜杠（“/”）
• 冒号（“:”）
• 分号（“;”）
• 等于 ("=")
• 问号（“？”）
• 'At' 符号 ("@")
• 磅（“#”）。

一般认为不安全的字符有：

• 空格（“”）
• 小于和大于（“”）
• 打开和关闭括号（“[]”）
• 左大括号和右大括号（“{}”）
• 管道（“|”）
• 反斜杠（“\”）
• 插入符号（“^”）
• 百分比（“%”）

我可能忘记了一个或多个，这导致我回响Carl V's answer。从长远来看，您最好使用允许字符的“白名单”然后对字符串进行编码，而不是试图与服务器和系统不允许的字符保持同步。

Answer 3

始终安全

从理论上和规范来看，这些基本上在任何地方都是安全的，除了域名。 Percent-encode 任何未列出的内容，一切顺利。

    A-Z a-z 0-9 - . _ ~ ( ) ' ! * : @ , ;

有时安全

只有在特定的 URL 组件中使用时才安全；小心使用。

    Paths:     + & =
    Queries:   ? /
    Fragments: ? / # + & =
    

永远不安全

根据 URI 规范 (RFC 3986)，所有其他字符都必须进行百分比编码。这包括：

    <space> <control-characters> <extended-ascii> <unicode>
    % < > [ ] { } | \ ^
    

如果考虑最大兼容性，请将字符集限制为 A-Z a-z 0-9 - _ 。 （句点仅用于文件扩展名）。

牢记上下文

即使根据规范有效，URL 仍然可能是“不安全的”，具体取决于上下文。例如包含无效文件名字符的 file:/// URL，或者在不用作分隔符时包含“？”、“=”和“&”的查询组件。这些情况的正确处理通常取决于您的脚本并且可以解决，但请记住这一点。

Answer 4

您最好只保留一些字符（白名单），而不是删除某些字符（黑名单）。

只要正确编码，您可以在技术上允许任何字符。但是，要本着问题的精神回答，您应该只允许以下字符：

1. 小写字母（将大写转换为小写）
2. 数字，0 到 9
3. 破折号 - 或下划线 _
4. 波浪号 ~

其他一切都有潜在的特殊含义。例如，您可能认为可以使用 +，但可以将其替换为空格。 & 也很危险，尤其是在使用一些重写规则时。

与其他 cmets 一样，请查看标准和规范以获取完整的详细信息。

Answer 5

看看RFC3986 - Uniform Resource Identifier (URI): Generic Syntax，你的问题围绕着URI的path部分。

    foo://example.com:8042/over/there?name=ferret#nose

     \_/   \______________/\_________/ \_________/ \__/
      |           |            |            |        |
   scheme     authority       path        query   fragment
      |   _____________________|__
     / \ /                        \
     urn:example:animal:ferret:nose

引用第 3.3 节，URI segment 的有效字符是 pchar 类型：

pchar = unreserved / pct-encoded / sub-delims / ":" / "@"

分解为：

ALPHA / DIGIT / "-" / "." / "_" / "~"

pct-encoded

"!" / "$" / "&" / "'" / "(" / ")" / "*" / "+" / "," / ";" / "="

":" / "@"

或者换句话说：您可以使用ASCII table、除了、/、?、#、[ 和 @ 中的任何（非控制）字符987654337@.

这种理解得到了RFC1738 - Uniform Resource Locators (URL) 的支持。

Answer 6

根据您所描述的上下文，我怀疑您实际上想要制作的是一种称为“SEO slug”的东西。最普遍的已知做法是：

1. 转换为小写
2. 将 a-z 和 0-9 以外的整个字符序列转换为一个连字符 (-)（不是下划线）
3. 从 URL 中删除“停用词”，即“a”、“an”和“the”等无意义的可索引词； Google 的“停用词”可查看大量列表

因此，例如，一篇标题为“The Usage of !@%$* to Represent Swearing In Comics”的文章会得到一个“usage-represent-swearing-comics”。

Answer 7

未保留 = ALPHA / DIGIT / "-" / "." /“_”/“~”

Answer 8

URI 的格式在RFC 3986 中定义。有关详细信息，请参阅第 3.3 节。

Answer 9

从 SEO 的角度来看，连字符比下划线更受欢迎。转换为小写，删除所有撇号，然后用单个连字符替换所有非字母数字字符串。剪掉开头和结尾多余的连字符。

Answer 10

我遇到了类似的问题。我希望有漂亮的 URL，并得出结论，我必须在 URL 中只允许字母、数字和 - 和 _。

那很好，但后来我写了一些不错的正则表达式，我意识到它可以识别所有 UTF-8 字符都不是 .NET 中的字母并且被搞砸了。这似乎是 .NET 正则表达式引擎的一个已知问题。所以我得到了这个解决方案：

private static string GetTitleForUrlDisplay(string title)
{
    if (!string.IsNullOrEmpty(title))
    {
        return Regex.Replace(Regex.Replace(title, @"[^A-Za-z0-9_-]", new MatchEvaluator(CharacterTester)).Replace(' ', '-').TrimStart('-').TrimEnd('-'), "[-]+", "-").ToLower();
    }
    return string.Empty;
}


/// <summary>
/// All characters that do not match the patter, will get to this method, i.e. useful for Unicode characters, because
/// .NET implementation of regex do not handle Unicode characters. So we use char.IsLetterOrDigit() which works nicely and we
/// return what we approve and return - for everything else.
/// </summary>
/// <param name="m"></param>
/// <returns></returns>
private static string CharacterTester(Match m)
{
    string x = m.ToString();
    if (x.Length > 0 && char.IsLetterOrDigit(x[0]))
    {
        return x.ToLower();
    }
    else
    {
        return "-";
    }
}

Answer 11

当我通过 Ajax/PHP 将一个值返回到一个 URL 时，我发现将我的 URL 编码为一个安全的 URL 非常有用，然后页面再次读取该 URL。

带有特殊字符 & 的 URL 编码器的 PHP 输出：

// PHP returning the success information of an Ajax request
echo "".str_replace('&', '%26', $_POST['name']) . " category was changed";

// JavaScript sending the value to the URL
window.location.href = 'time.php?return=updated&val=' + msg;

// JavaScript/PHP executing the function printing the value of the URL,
// now with the text normally lost in space because of the reserved & character.

setTimeout("infoApp('updated','<?php echo $_GET['val'];?>');", 360);

Answer 12

我认为您正在寻找类似“URL encoding”的内容 - 对 URL 进行编码以便在网络上“安全”使用：

这是一个参考。如果您不想要任何特殊字符，只需删除任何需要 URL 编码的字符：

HTML URL Encoding Reference

Answer 13

3-50 个字符之间。可以包含小写字母、数字和特殊字符 - 点 (.)、破折号 (-)、下划线 (_) 和比率 (@)。