Web安全的URL结构是什么

本篇内容主要讲解“Web安全的URL结构是什么”，感兴趣的朋友不妨来看看。本文介绍的方法操作简单快捷，实用性强。下面就让小编来带大家学习“Web安全的URL结构是什么”吧!

1. 百分号编码

在介绍百分号编码前，还要了解URL需要对哪些字符进行编码。

RFC3986文档规定，URL中只允许包含英文字母（a～z、A～Z）、数字（0～9）、“-”“_”“.”“～” 4个特殊字符以及所有保留字符。

所谓的保留字符就是划分URL的，分隔不同组件的字符。

百分号编码的编码方式非常简单，使用百分号（%）加上两个字符（0123456789ABCDEF），表示为一个字节的十六进制的形式。URL编码默认使用的字符集是ASCII码。例如，井号（#）对应的十六进制是0x23，所以它的URL编码就为%23。对于非ASCII字符，需要使用ASCII字符集的超集进行编码得到相应的字节，然后对每个字节执行百分号编码。

2. URL解析

在传输前，浏览器会对 URL 进行编码。接收 URL 的服务器主要负责对接收到的 URL进行解析。URL的使用过程当中，由于互联网上的每个网页大多会引用与它同服务器甚至是同级目录下的文件，就会使用到相对URL的概念。在介绍URL编码时，展示的是绝对URL，这就相当于电脑中的相对路径与绝对路径的区别。所以在解析的时候，服务器需要区分相对URL与绝对URL。

按照规范里的说法，要区分两者非常简单。如果 URL 字符串不是一个有效的协议名，后面跟的不是冒号（:）或双斜杠（//），那么它就是一个需要被引用的相对 URL。其实在实际应用中，对于相对 URL 的解析是有规范的，因为不同浏览器的具体实现千差万别，有效协议名称的字符集也各有不同，还有各种替代双斜杠（//）分隔符的方法，因此，接下来会对相对URL的解析进行一个归类。

（1）有协议名称，但没有授权信息（http:abc.txt）。这是一个比较有名的漏洞，它的产生是由RFC3986规范疏忽所致。在规范中将这些地址描述为无效的绝对地址，但在提供的解析算法中又将这种地址的解析搞错了。所以这种形式的URL，在执行过程中会被理解为相对地址来进行处理。例如，在某些情况下，http:abc.txt会被理解为相对地址，而https:example.com会被解释为绝对地址。

（2）没有协议名，但有授权信息（//example.com）。这种写法在规范中给出了较为完整的处理。面对这种URL，浏览器会自动补全该URL。

（3）没有协议名，没有授权信息，但有路径（../robots.txt）。这是一种比较常见的用法，协议和授权信息都从引用URL里复制过来，然后将这个相对地址进行补全。

（4）没有协议名，没有授权信息，没有路径，但有查询的字符串（?username=abc）。在这种情况下，协议、授权信息、路径全都会原封不动地从原引用 URL 复制过来。查询字符串和字段ID则来自于相对URL。

（5）只有片段 ID（#bunnies）。这种方式也是如此，其他部分全部原封不动地从原引用URL复制，只替换字段ID的部分。

到此，相信大家对“Web安全的URL结构是什么”有了更深的了解，不妨来实际操作一番吧！这里是亿速云网站，更多相关内容可以进入相关频道进行查询，关注我们，继续学习！