Dấu hai chấm `:` có an toàn cho việc sử dụng URL thân thiện không?

Chúng tôi đang thiết kế một hệ thống URL sẽ chỉ định các phần ứng dụng dưới dạng các từ được phân tách bằng dấu gạch chéo. Cụ thể, đây là trong GWT, vì vậy các phần liên quan của URL sẽ nằm trong hàm băm (sẽ được giải thích bởi một lớp bộ điều khiển ở phía máy khách):

http://site/gwturl#section1/section2

Một số phần có thể cần các thuộc tính bổ sung mà chúng tôi muốn chỉ định bằng a :, để các phần của URL rõ ràng. Đầu tiên /, mã sẽ phân tách , sau đó mới đến :, như thế này:

http://site/gwturl#user:45/comments

Tất nhiên, chúng tôi đang làm điều này để thân thiện với url, vì vậy chúng tôi muốn đảm bảo rằng không có ký tự nào trong số những ký tự có ý nghĩa đặc biệt này sẽ được mã hóa url bởi các trình duyệt hoặc bất kỳ hệ thống nào khác và kết thúc bằng một url như điều này:

http://site/gwturl#user%3A45/comments <--- BAD

Việc sử dụng dấu hai chấm theo cách này có an toàn không (theo ý tôi là sẽ không được mã hóa tự động) cho các trình duyệt, hệ thống đánh dấu trang, thậm chí cả mã Javascript hoặc Java?

Gần đây tôi đã viết một bộ mã hóa URL, vì vậy điều này khá mới mẻ trong tâm trí tôi.

http://site/gwturl#user:45/comments

Tất cả các ký tự trong phần đoạn ( user:45/comments) hoàn toàn hợp pháp đối với các URI RFC 3986 .

Các phần liên quan của ABNF :

fragment      = *( pchar / "/" / "?" )
pchar         = unreserved / pct-encoded / sub-delims / ":" / "@"
unreserved    = ALPHA / DIGIT / "-" / "." / "_" / "~"
pct-encoded   = "%" HEXDIG HEXDIG
sub-delims    = "!" / "$" / "&" / "'" / "(" / ")"
                 / "*" / "+" / "," / ";" / "="

Ngoài những hạn chế này, phần phân mảnh không có cấu trúc xác định nào ngoài cấu trúc mà ứng dụng của bạn cung cấp cho nó. Đề án, http, chỉ nói rằng bạn không gửi phần này đến máy chủ.

BIÊN TẬP:

Ôi!

Bất chấp những khẳng định của tôi về thông số kỹ thuật URI, không thể chối cãi cung cấp câu trả lời chính xác khi anh ấy chỉ ra rằng thông số kỹ thuật HTML 4 hạn chế tên phần tử / số nhận dạng .

Lưu ý rằng các quy tắc nhận dạng đang thay đổi trong HTML 5 . Các hạn chế của URI vẫn sẽ được áp dụng (tại thời điểm viết bài, có một số vấn đề chưa được giải quyết xung quanh việc sử dụng URI của HTML 5).

Ngoài phân tích của McDowell về tiêu chuẩn URI, hãy nhớ rằng phân đoạn phải là tên liên kết HTML hợp lệ. Theo http://www.w3.org/TR/html4/types.html#type-name

Mã thông báo ID và TÊN phải bắt đầu bằng một chữ cái ([A-Za-z]) và có thể được theo sau bởi bất kỳ số chữ cái, chữ số ([0-9]), dấu gạch ngang ("-"), dấu gạch dưới ("_") , dấu hai chấm (":") và dấu chấm (".").

Vì vậy, bạn là người may mắn. ":" được cho phép một cách rõ ràng. Và không ai nên "%" - thoát khỏi nó, không chỉ vì "%" là ký tự bất hợp pháp ở đó, mà còn bởi vì phân đoạn phải khớp với tên neo char-by-char, do đó không có tác nhân nào nên cố gắng giả mạo chúng theo bất kỳ cách nào.

Tuy nhiên bạn phải kiểm tra nó. Các tiêu chuẩn web không được tuân thủ nghiêm ngặt, đôi khi các tiêu chuẩn mâu thuẫn với nhau. Ví dụ: HTTP / 1.1 RFC 2616 không cho phép chuỗi truy vấn trong URL yêu cầu, trong khi HTML xây dựng một chuỗi khi gửi biểu mẫu với phương thức GET. Bên nào được triển khai trong thế giới thực sẽ thắng vào cuối ngày.

MediaWiki và các công cụ wiki khác sử dụng dấu hai chấm trong URL của họ để chỉ định không gian tên, dường như không có vấn đề gì lớn.

ví dụ: http://en.wikipedia.org/wiki/Template:Welcome

Tôi sẽ không tin tưởng vào nó. Nó có thể sẽ được mã hóa url %3Abởi nhiều tác nhân người dùng.

Từ URLEncoderjavadoc:

Để biết thêm thông tin về mã hóa biểu mẫu HTML, hãy tham khảo thông số kỹ thuật HTML .

Khi mã hóa một chuỗi, các quy tắc sau được áp dụng:

• Các ký tự chữ và số "a" đến "z", "A" đến "Z" và "0" đến "9" vẫn được giữ nguyên.
• Các ký tự đặc biệt ".", "-", "*" và "_" vẫn được giữ nguyên.
• Ký tự khoảng trắng "" được chuyển thành dấu cộng "+".
• Tất cả các ký tự khác đều không an toàn và lần đầu tiên được chuyển đổi thành một hoặc nhiều byte bằng cách sử dụng một số lược đồ mã hóa. Sau đó, mỗi byte được biểu diễn bằng chuỗi 3 ký tự "% xy", trong đó xy là biểu diễn thập lục phân có hai chữ số của byte. Lược đồ mã hóa được khuyến nghị sử dụng là UTF-8. Tuy nhiên, vì lý do tương thích, nếu một mã hóa không được chỉ định, thì mã hóa mặc định của nền tảng sẽ được sử dụng.

Đó là, :không an toàn.

Tôi không thấy Firefox hoặc IE8 mã hóa một số URL Wikipedia bao gồm ký tự.

Dấu hai chấm được sử dụng làm dấu phân tách giữa tên người dùng và mật khẩu nếu giao thức yêu cầu xác thực.

Colon không an toàn. Xem tại đây

Nó không phải là một ký tự an toàn và được sử dụng để phân biệt cổng nào bạn kết nối khi nó nằm ngay sau tên miền của bạn