URL Encode و Decode آنلاین (کدگذاری درصدی)

ابزار دو حالت دارد که دقیقاً دو تابع استاندارد جاوااسکریپت را اجرا می‌کنند. حالت «مقدار پارامتر» از encodeURIComponent استفاده می‌کند و جز حروف لاتین، اعداد و نشانه‌های بی‌خطر خط تیره، زیرخط، نقطه، ~، !، *، کوتیشن تکی و پرانتزها همه‌چیز را کدگذاری می‌کند؛ از جمله / و ? و & و =. این حالت برای مقدار یک پارامتر یا یک بخش از مسیر مناسب است.

حالت «آدرس کامل» از encodeURI استفاده می‌کند و نویسه‌هایی را که ساختار آدرس را می‌سازند دست‌نخورده می‌گذارد تا یک آدرس کامل بعد از کدگذاری هنوز آدرس معتبری باشد. این حالت برای وقتی است که آدرسی با فاصله یا حروف فارسی دارید و می‌خواهید فقط همان بخش‌ها اصلاح شوند. با تغییر حالت، نتیجه بی‌درنگ با تابع جدید دوباره ساخته می‌شود و توضیح کوتاه زیر نوار ابزار هم نشان می‌دهد کدام نویسه‌ها دست‌نخورده می‌مانند.

برای انتخاب درست حالت کدگذاری، باید بدانید با کدام بخش آدرس سروکار دارید. یک آدرس کامل از چند جزء ساخته شده است: طرح (scheme) مثل https، نام میزبان، پورت اختیاری، مسیر، query string بعد از علامت سؤال و fragment بعد از علامت #. هر جزء قواعد خودش را دارد و نویسه‌ای که در یک جزء مجاز است، ممکن است در جزء دیگر معنای ویژه داشته باشد.

نام میزبان با کدگذاری درصدی نوشته نمی‌شود؛ دامنه‌های فارسی به شکل punycode درمی‌آیند که با xn-- شروع می‌شود. مسیر از بخش‌هایی تشکیل شده که با / از هم جدا می‌شوند و هر بخش را باید جداگانه با حالت «مقدار پارامتر» کدگذاری کرد. در query string، نام و مقدار هر پارامتر جداگانه کدگذاری می‌شود و علامت‌های = و & بین آن‌ها دست‌نخورده می‌مانند. fragment هم هرگز به سرور فرستاده نمی‌شود و فقط در مرورگر استفاده می‌شود.

هر حرف فارسی در UTF-8 دو بایت جا می‌گیرد و هر بایت در کدگذاری درصدی سه نویسه می‌شود. پس هر حرف فارسی به شش نویسه تبدیل می‌شود. کلمهٔ «سلام» با چهار حرف به %D8%B3%D9%84%D8%A7%D9%85 تبدیل می‌شود که ۲۴ نویسه است. شمارندهٔ بالای هر کادر تعداد نویسه و بایت ورودی و خروجی را نشان می‌دهد و همین اختلاف را آشکار می‌کند؛ برای متن فارسی خروجی معمولاً چند برابر ورودی است.

مرورگرهای امروزی آدرس‌های فارسی را در نوار آدرس به شکل خوانا نشان می‌دهند، ولی هنگام کپی کردن یا ارسال به سرور، نسخهٔ کدگذاری‌شده منتقل می‌شود. به همین دلیل وقتی لینکی با نامک فارسی را در پیام‌رسان می‌چسبانید، رشتهٔ طولانی %D8... می‌بینید. اگر می‌خواهید بدانید یک آدرس طولانی دقیقاً چه می‌گوید، حالت «بازگردانی» را انتخاب کنید و آن را در کادر ورودی بچسبانید تا به متن خوانا برگردد.

نامک فارسی برای سئو اشکالی ندارد، ولی طول آدرس کدگذاری‌شده را چند برابر می‌کند و در برخی سامانه‌ها، از لاگ‌ها تا ابزارهای قدیمی، خواناتر بودن نامک لاتین مزیت است. هر کدام را انتخاب کنید، در کل سایت یکدست بمانید.

یکی از رایج‌ترین سردرگمی‌ها این است که فاصله گاهی %20 و گاهی + نوشته می‌شود. در کدگذاری استاندارد آدرس طبق RFC 3986، فاصله %20 است. ولی وقتی فرم HTML با روش پیش‌فرض application/x-www-form-urlencoded ارسال می‌شود، فاصله به + تبدیل می‌شود و خود علامت + به %2B. برای همین در query string‌هایی که از فرم آمده‌اند، علامت + معمولاً به معنای فاصله است.

این ابزار به‌طور پیش‌فرض کدگذاری استاندارد آدرس را انجام می‌دهد: فاصله را %20 می‌نویسد و هنگام بازگردانی، علامت + را همان + باقی می‌گذارد. اگر رشته‌ای از فرم یا لاگ دارید که در آن فاصله‌ها + شده‌اند، در حالت «مقدار پارامتر» گزینهٔ «+ به‌جای فاصله» را روشن کنید؛ آن‌وقت هنگام کدگذاری فاصله به + تبدیل می‌شود و هنگام بازگردانی هر + پیش از بازگردانی به فاصله تبدیل می‌شود. اگر این گزینه خاموش باشد و ورودی بازگردانی + داشته باشد، ابزار یادآوری کوتاهی نشان می‌دهد. برعکس، اگر مقداری واقعاً شامل + است، مثل شماره تلفن با پیش‌شمارهٔ ⁦+98⁩، حتماً آن را با حالت «مقدار پارامتر» کدگذاری کنید تا به %2B تبدیل شود و سمت سرور فاصله خوانده نشود.

کدگذاری دوباره وقتی رخ می‌دهد که رشته‌ای که قبلاً کدگذاری شده، یک بار دیگر کدگذاری شود. علامت درصد خودش به %25 تبدیل می‌شود و %20 به %2520 می‌رسد. نتیجه این است که سرور به‌جای فاصله، عبارت %20 را می‌بیند. اگر در لاگ یا آدرس %25 دیدید، تقریباً همیشه نشانهٔ کدگذاری دوباره است؛ یک بار بازگردانی کنید و ببینید آیا هنوز %XX باقی مانده است. ابزار این حالت را خودش تشخیص می‌دهد و دکمهٔ «یک بار دیگر بازگردانی کن» را نشان می‌دهد؛ اگر هم در حالت کدگذاری متنی بچسبانید که از قبل کدگذاری شده، پیش از ساختن %25 هشدار می‌دهد.

اگر رشتهٔ کدگذاری‌شده علامت درصدی داشته باشد که دو رقم معتبر شانزده‌شانزدهی بعد از آن نیست، مثل 100% یا %G1، بازگردانی متوقف می‌شود و ابزار جایگاه دقیق همان علامت درصد را گزارش می‌کند. همین‌طور اگر کدهای %XX درست نوشته شده باشند ولی بایت‌های UTF-8 معتبری نسازند، مثلاً وقتی نیمی از کد یک حرف فارسی هنگام کپی جا افتاده یا متن با Windows-1256 کدگذاری شده، جایگاه آن دنباله نشان داده می‌شود. یک تفاوت ظریف دیگر: در حالت «آدرس کامل»، تابع decodeURI کدهایی مثل %2F، %3F و %26 را که نویسه‌های ساختاری آدرس‌اند به نویسهٔ اصلی برنمی‌گرداند؛ برای دیدن کامل متن، حالت «مقدار پارامتر» را انتخاب کنید.

هر زبان دو نوع تابع دارد: یکی برای کدگذاری استاندارد آدرس و یکی برای کدگذاری فرم. اشتباه گرفتن این دو، منشأ بیشتر باگ‌های مربوط به + و فاصله است. جدول زیر معادل حالت «مقدار پارامتر» این ابزار و گزینهٔ «+ به‌جای فاصله» را در چند زبان رایج نشان می‌دهد.

کدگذاری درصدی رمزگذاری نیست و هیچ چیزی را پنهان نمی‌کند؛ هر کسی می‌تواند آن را در یک لحظه برگرداند. آدرس‌ها، شامل query string، در تاریخچهٔ مرورگر، لاگ سرورها و پروکسی‌ها ثبت می‌شوند و ممکن است در سرآیند Referer به سایت‌های دیگر هم برسند. پس رمز عبور، توکن دسترسی یا اطلاعات شخصی را در آدرس نگذارید، حتی اگر کدگذاری شده باشد.

وقتی آدرس بازگشت را به‌عنوان پارامتر می‌گیرید، مثلاً پس از ورود کاربر، مقدار decodeشده را با فهرستی از مسیرها یا دامنه‌های مجاز مقایسه کنید. مهاجمان با کدگذاری، آدرس‌های خارجی را طوری پنهان می‌کنند که در نگاه اول بی‌خطر به نظر برسند و از آن برای فیشینگ استفاده می‌کنند. برای بررسی پاسخ و ریدایرکت‌های یک آدرس، بررسی هدرهای HTTP مفید است.

تبدیل کاملاً با توابع داخلی جاوااسکریپت مرورگر انجام می‌شود. سرور ایران‌کلاد فقط خود صفحه را می‌فرستد و متنی که در کادرها می‌نویسید یا می‌چسبانید در هیچ درخواستی ارسال یا ذخیره نمی‌شود. بنابراین می‌توانید آدرس‌های داخلی یا پارامترهای آزمایشی را بدون نگرانی بررسی کنید.

محدودیت‌ها: ابزار آدرس را به اجزای آن تجزیه نمی‌کند و پارامترها را جدا نمایش نمی‌دهد؛ اگر کل یک query string را با چند پارامتر در حالت «مقدار پارامتر» کدگذاری کنید، علامت‌های & و = بین پارامترها هم کدگذاری می‌شوند، پس هر مقدار را جداگانه کدگذاری کنید. شمارنده‌ها هم تعداد نویسه و هم تعداد بایت UTF-8 را نشان می‌دهند. متن واردشده در آدرس صفحه یا حافظهٔ مرورگر ذخیره نمی‌شود و با تازه کردن صفحه پاک می‌شود. برای داده‌های دودویی یا توکن‌ها، Base64 و برای خواندن محتوای توکن‌های ورود، دیکودر JWT ابزار مناسب‌تری است.

اگر با API کار می‌کنید، معمولاً بعد از کدگذاری آدرس سراغ بدنهٔ پاسخ می‌روید؛ ابزار JSON پاسخ را مرتب و اعتبارسنجی می‌کند و تست Regex برای استخراج بخشی از آدرس‌ها در لاگ کمک می‌کند. فهرست کامل ابزارهای رایگان در صفحهٔ ابزارها آمده است.

برای اجرای برنامهٔ وب یا API خودتان، سرورهای ابری ایران‌کلاد در تهران با صورت‌حساب ساعتی و تومانی در دسترس‌اند؛ پلن mini از ۱٬۱۰۰ تومان در ساعت شروع می‌شود و جزئیات همهٔ پلن‌ها در صفحهٔ قیمت‌ها آمده است.