Apakah titik dua `:` aman untuk penggunaan ramah-URL?

Kami merancang sistem URL yang akan menentukan bagian aplikasi sebagai kata-kata yang dipisahkan oleh garis miring. Secara khusus, ini ada di GWT, jadi bagian yang relevan dari URL akan ada di hash (yang akan ditafsirkan oleh lapisan pengontrol di sisi klien):

http://site/gwturl#section1/section2

Beberapa bagian mungkin memerlukan atribut tambahan, yang ingin kami tentukan dengan a :, agar bagian URL tidak ambigu. Kode akan terpecah pertama /, kemudian :, seperti ini:

http://site/gwturl#user:45/comments

Tentu saja, kami melakukan ini untuk keramahan url, jadi kami ingin memastikan bahwa tidak satu pun dari karakter ini yang memiliki arti khusus akan dienkode-url oleh browser, atau sistem lain, dan berakhir dengan url seperti ini:

http://site/gwturl#user%3A45/comments <--- BAD

Apakah menggunakan titik dua dengan cara ini aman (maksud saya tidak akan secara otomatis dikodekan) untuk browser, sistem bookmark, bahkan Javascript atau kode Java?

Saya baru-baru ini menulis encoder URL, jadi ini cukup segar dalam pikiran saya.

http://site/gwturl#user:45/comments

Semua karakter di bagian fragmen ( user:45/comments) legal untuk RFC 3986 URI .

Bagian-bagian yang relevan dari ABNF :

fragment      = *( pchar / "/" / "?" )
pchar         = unreserved / pct-encoded / sub-delims / ":" / "@"
unreserved    = ALPHA / DIGIT / "-" / "." / "_" / "~"
pct-encoded   = "%" HEXDIG HEXDIG
sub-delims    = "!" / "$" / "&" / "'" / "(" / ")"
                 / "*" / "+" / "," / ";" / "="

Terlepas dari batasan ini, bagian fragmen tidak memiliki struktur yang ditentukan selain yang diberikan aplikasi Anda. Skemanya, http, hanya mengatakan bahwa Anda tidak mengirim bagian ini ke server.

EDIT:

D'oh!

Terlepas dari pernyataan saya tentang spesifikasi URI, irreputable memberikan jawaban yang benar ketika dia menunjukkan bahwa spesifikasi HTML 4 membatasi nama / pengenal elemen .

Perhatikan bahwa aturan pengenal berubah di HTML 5 . Pembatasan URI akan tetap berlaku (pada saat penulisan, ada beberapa masalah yang belum terselesaikan seputar penggunaan URI HTML 5).

Selain analisis McDowell tentang standar URI, ingat juga bahwa fragmen harus berupa nama jangkar HTML yang valid. Menurut http://www.w3.org/TR/html4/types.html#type-name

Token ID dan NAMA harus dimulai dengan huruf ([A-Za-z]) dan dapat diikuti dengan sejumlah huruf, angka ([0-9]), tanda hubung ("-"), setrip bawah ("_") , titik dua (":"), dan titik (".").

Jadi Anda beruntung. ":" diizinkan secara eksplisit. Dan tidak ada yang harus "%" - menghindarinya, tidak hanya karena "%" adalah char ilegal di sana, tetapi juga karena fragmen harus cocok dengan nama anchor char-by-char, oleh karena itu tidak ada agen yang mencoba merusaknya dengan cara apa pun.

Bagaimanapun Anda harus mengujinya. Standar web tidak diikuti dengan ketat, terkadang standarnya saling bertentangan. Misalnya HTTP / 1.1 RFC 2616 tidak mengizinkan string kueri di URL permintaan, sementara HTML membuatnya saat mengirimkan formulir dengan metode GET. Apa pun yang diterapkan di dunia nyata akan menang pada akhirnya.

MediaWiki dan mesin wiki lainnya menggunakan titik dua di URL mereka untuk menunjukkan ruang nama, tanpa masalah besar.

mis. http://en.wikipedia.org/wiki/Template:Welcome

Saya tidak akan mengandalkannya. Ini kemungkinan akan mendapatkan url yang dikodekan %3Aoleh banyak agen pengguna.

Dari URLEncoderjavadoc:

Untuk informasi lebih lanjut tentang pengkodean formulir HTML, lihat spesifikasi HTML .

Saat mengenkode String, aturan berikut berlaku:

• Karakter alfanumerik "a" sampai "z", "A" sampai "Z" dan "0" sampai "9" tetap sama.
• Karakter khusus ".", "-", "*", dan "_" tetap sama.
• Karakter spasi "" diubah menjadi tanda plus "+".
• Semua karakter lain tidak aman dan pertama-tama diubah menjadi satu atau lebih byte menggunakan beberapa skema encoding. Kemudian setiap byte diwakili oleh string 3 karakter "% xy", di mana xy adalah representasi heksadesimal dua digit dari byte. Skema encoding yang direkomendasikan untuk digunakan adalah UTF-8. Namun, untuk alasan kompatibilitas, jika encoding tidak ditentukan, maka encoding default platform akan digunakan.

Artinya, :tidak aman.

Saya tidak melihat Firefox atau IE8 mengkodekan beberapa URL Wikipedia yang menyertakan karakter tersebut.

Titik dua digunakan sebagai pemisah antara nama pengguna dan kata sandi jika protokol memerlukan otentikasi.

Usus besar tidak aman. Lihat disini

Ini bukan karakter yang aman dan digunakan untuk membedakan port mana yang Anda sambungkan ketika berada tepat setelah nama domain Anda