URL 编码解码器

encodeURIComponent 编码 URL 的一个部分，并假定这部分是数据，所以会转义赋予 URL 结构的分隔符：斜杠、问号、井号、和号、等号、冒号、@ 符号、加号和美元符号。encodeURI 编码一个已经拼好的 URL，并假定这些分隔符是结构，所以不去动它们。实用的规则是：你几乎总是需要组件版本，因为你几乎总是在用片段拼出一个 URL，而不是修补一个已经存在的 URL。只有当别人交给你一个完整链接，里面有空格或带重音的字符需要清理时，才用完整 URL 版本。

因为两个标准写于不同的时期，而且都沿用了下来。RFC 3986 描述的是一般意义上的 URL，它在任何位置都把空格编码为 %20。更早的 HTML 表单提交格式 application/x-www-form-urlencoded 把空格编码为加号，这正是浏览器提交表单时至今仍在发送的格式，也是 URLSearchParams 生成的格式。几乎所有服务器都能在查询字符串中正确读取这两种写法，因为查询字符串解析器知道这两种约定。麻烦出在用一种方式编码的值被另一种方式解码时：用普通的百分号解码器去解码表单编码的值，Anna Marie 这样的名字就会变成 Anna+Marie。所以本页会同时显示两种解码结果，而不是替你选一种。

它表示一个被百分号编码了两次的空格。空格先变成 %20。如果这个 %20 再经过一次编码器，百分号本身会被编码为 %25，于是就得到 %2520。在链接的任何位置看到 %25 后面再跟两个十六进制数字，就是双重编码的特征。它通常发生在用一个已经编码过的 URL 再编码来构造重定向参数时，或者一个值经过两个框架、而每个框架都好心地编码了一次时。把它粘贴到这里的解码模式，层数会准确告诉你需要撤销几遍。

RFC 3986 定义了一个永远不需要转义的非保留字符集：A 到 Z、a 到 z、0 到 9，以及连字符、句点、下划线和波浪号这四个符号。其余所有字符都属于保留字符集，又分为通用分隔符（冒号、斜杠、问号、井号、方括号、@ 符号）和子分隔符（感叹号、美元符号、和号、单引号、圆括号、星号、加号、逗号、分号、等号）。保留字符在发挥结构作用的位置是合法的，作为数据出现时则必须转义。此外，空格以及双引号、小于号、大于号、百分号、反斜杠、脱字符、反引号和花括号这些字符根本不允许原样出现。本页的参考表逐一列出了它们，以及四种编码器各自如何处理。

因为百分号编码处理的是字节，而不是字符，而现代 URL 以 UTF-8 传输文本。在 UTF-8 中，带尖音符的字母 e 占两个字节 C3 和 A9，所以编码为 %C3%A9。一个中日韩字符占三个字节，变成三组三元组；一个表情符号占四个字节，变成四组三元组，也就是一个可见符号对应十二个字符。这就是编码后的字符串可能比你输入的文本长好几倍的原因，也是按字符计算的长度限制在编码前后表现不同的原因。本页的字节视图会逐字符展示这种膨胀。

不能，这正是制造失效链接最多的错误。把一个本来正确的 URL 再送进编码器，每个结构字符都会变成转义序列：斜杠变成 %2F，问号变成 %3F，已有转义序列中的百分号会变成 %25。出来的东西已经不是 URL 了，只是一个碰巧长得像 URL 的字符串。如果链接本来就能用，就别动它。如果链接里有未编码的空格或带重音的字符，完整 URL 编码才是合适的工具，因为它能修正这些字符而不碰分隔符。在编码模式中试试“已编码”预设，就能看到重新编码到底会对一个正常链接做什么。

域名系统只能承载有限的一组 ASCII 字符，所以用阿拉伯文、西里尔字母、希腊字母、中文书写的域名，或者仅仅带一个德语变音符号的域名，都必须先转换成 ASCII 才能被查询。这种转换就是 punycode，它生成以 xn-- 开头的标签。浏览器会静默完成这一转换，这意味着你看到的主机名和实际被解析的主机名是两个不同的字符串。同时显示两者是一项安全检查，而不是猎奇：同形字攻击之所以奏效，正是因为由外形相似的字符组成的名称读起来像某个熟悉的品牌，解析出来却完全是另一回事。本页在浏览器中把 punycode 解码回 Unicode，因为浏览器没有内置的逆向转换方法。

凡是在 URL 中出现过的凭据，都应视为已经泄露。URL 中的用户信息部分，也就是 @ 符号之前的所有内容，在旧协议中会作为请求行的一部分明文发送，会被写入服务器访问日志和代理日志，会保存在浏览器历史记录中，过去还曾通过发往你访问的下一个网站的 Referer 请求头泄露。如今有些浏览器会去掉它或发出警告，但已经写入日志的副本不会消失。如果带凭据的链接被分享过、被粘贴到工单里或从邮件中点开过，请更换密码，而不要指望这个链接一直保密。本页只要发现凭据就会标记出来，并遮盖密码而不是显示它。

只要输入不是有效的百分号编码 UTF-8 字符串，它就会抛出 URIError，这包括百分号后面什么都没有、像 %ZZ 这样不是十六进制的字符对、像单独一个 %C3 这样被截断的多字节字符、超长编码，以及被转义的半个代理对。这个错误既不说明位置也不说明原因，所以在生产环境中通常会变成一个空白页面或 500 错误。在你自己的代码里，解决办法是包裹这个调用并显式处理失败，而不是任由异常抛出去。调试时的解决办法是把值粘贴到这里：本页的解码器会手动遍历字符串，告诉你是哪个字符出了问题以及原因，而不是拒绝说明。

不会。所有编码器、解码器、URL 解析器、punycode 解码器和查询工作台都以普通 JavaScript 在这个标签页中运行，不会访问任何链接。这一点在这里比在大多数工具上更重要，因为人们拿来解码的 URL 恰恰是那些包含会话令牌、签名下载链接、密码重置参数和内部主机名的链接。输入上限为 100,000 个字符，远超任何可用的 URL，两次访问之间不会保存任何内容。