شرح ترميز URL: دليل كامل

عناوين URL هي العمود الفقري للويب، لكنها لا تستطيع التعامل مع جميع الأحرف مباشرة. ترميز URL (المعروف أيضًا باسم ترميز النسبة المئوية) يحول الأحرف الخاصة إلى تنسيق يمكن نقله بأمان عبر الإنترنت. سواء كنت تبني واجهات برمجة تطبيقات أو تعالج معلمات استعلام أو تتعامل مع مدخلات المستخدم، فإن فهم ترميز URL ضروري لتطوير الويب.

ما هو ترميز URL؟

ترميز URL، رسميًا ترميز النسبة المئوية، هو آلية لترميز المعلومات في معرف الموارد الموحد (URI). يستبدل الأحرف غير الآمنة بعلامة النسبة المئوية (%) متبوعة برقمين ست عشريين يمثلان قيمة ASCII للحرف. على سبيل المثال، يتم ترميز المسافة كـ %20 وعلامة التعجب كـ %21.

عناوين URL مقيدة بمجموعة أحرف ASCII. أي حرف خارج هذه المجموعة، أو أي حرف له معنى خاص في عنوان URL (مثل & و = و #)، يجب ترميزه. بدون الترميز، يمكن أن تفسر الأحرف الخاصة بشكل خاطئ كمحددات URL، مما يكسر وظيفة الرابط أو ينشئ ثغرات أمنية.

ترميز URL في JavaScript

يجب ترميز الأحرف التالية دائمًا في معلمات استعلام URL:

تقدم كل لغة برمجة وظائف مدمجة لترميز URL. إليك الاستخدام الصحيح في اللغات الرئيسية:

لماذا ترميز URL ضروري

يجب ترميز معلمات استعلام URL دائمًا قبل إضافتها إلى عنوان URL. يجب ترميز أجزاء المسار فقط إذا كانت تحتوي على أحرف غير ASCII أو أحرف URL محجوزة. يجب ترميز معلمات POST عندما تكون بيانات النموذج من نوع application/x-www-form-urlencoded. لا تقم بترميز عناوين URL كاملة دفعة واحدة — قم بترميز المكونات الفردية.

1. المسافة ( ) -> %20
2. علامة التعجب (!) -> %21
3. علامة الاقتباس (") -> %22

ترميز URL في Python

لا تقم بترميز عناوين URL كاملة — قم بترميز المكونات الفردية فقط. لا تقم بترميز عناوين URL التي تم ترميزها بالفعل. لا تقم بترميز الأحرف المحجوزة في أجزاء المسار التي لها معنى نحوي. لا تقم بترميز عناوين URL كاملة التسلسل.

الترميز المزدوج هو خطأ ترميز شائع حيث يتم ترميز سلسلة تم ترميزها بالفعل مرة أخرى. على سبيل المثال، يتم ترميز المسافة إلى %20، ثم يتم ترميز %20 إلى %2520 (يتم ترميز % إلى %25). يحدث هذا غالبًا عندما تطبق أطر العمل طبقات ترميز متعددة.

مرجع أحرف ترميز URL

استخدم أدوات ترميز URL المجانية الخاصة بنا لترميز وفك ترميز عناوين URL.

ترميز URL في لغات البرمجة

ترميز URL، أو ترميز النسبة المئوية، هو آلية تحول الأحرف الخاصة إلى تنسيق يمكن نقله بأمان في عناوين URL. يستبدل الأحرف غير الآمنة بـ % متبوعًا برقمين ست عشريين. على سبيل المثال، يتم ترميز المسافة كـ %20. يضمن الترميز نقل عنوان URL بشكل صحيح عبر الإنترنت.

ترميز URL في PHP

encodeURI() مصمم لعناوين URL الكاملة. يحافظ على الأحرف المحجوزة التي لها معنى نحوي في عنوان URL (مثل / و ? و & و #). encodeURIComponent() مصمم لأجزاء عنوان URL الفردية. يرمّز جميع الأحرف المحجوزة. استخدم encodeURIComponent() لمعلمات الاستعلام وقيم النماذج.

متى تستخدم الترميز

نعم، ترميز URL قابل للعكس تمامًا. وظيفة فك الترميز (مثل decodeURIComponent() في JavaScript) تحول تسلسل الترميز بالنسبة المئوية مرة أخرى إلى الأحرف الأصلية. فك الترميز يطابق الترميز تمامًا.

متى يكون الترميز غير ضروري

يمكن ترميز المسافات كـ %20 أو +. في معلمات استعلام URL (الجزء بعد ?)، يتم ترميز المسافات تقليديًا كـ +. في أجزاء URL الأخرى، تستخدم المسافات %20. دالة encodeURIComponent() في JavaScript تستخدم %20، بينما العديد من اللغات من جانب الخادم تستخدم + لمعلمات الاستعلام.

ترميز URL مقابل ترميز HTML

ترميز النسبة المئوية هو اسم آخر لترميز URL. يحول الأحرف الخاصة إلى تسلسلات % متبوعة بنقطة ترميز الحرف الست عشرية. يمثل %20 مسافة، %23 يمثل #، %26 يمثل &، وهكذا.

ما هو ترميز URL؟

JavaScript provides three encoding functions, each with different behavior:

// encodeURI - encodes a complete URL
// Preserves: :, /, ?, #, &, =, +, @, ;, ,, !, ~, *, ', (, )
const url = encodeURI("https://example.com/search?q=hello world");
// Result: "https://example.com/search?q=hello%20world"

// encodeURIComponent - encodes a URL component
// Encodes ALL special characters including URL delimiters
const param = encodeURIComponent("price=100&discount=20");
// Result: "price%3D100%26discount%3D20"

// Never use escape() - it is deprecated
// It does not handle Unicode correctly

encodeURIencodeURIComponentencodeURIencodeURIComponent when you are encoding a single parameter value.

ما الفرق بين encodeURI و encodeURIComponent؟

from urllib.parse import quote, quote_plus, urlencode

# quote - standard URL encoding (spaces as %20)
encoded = quote("hello world&more")
# Result: "hello%20world%26more"

# quote_plus - spaces become + instead of %20
encoded_plus = quote_plus("hello world")
# Result: "hello+world"

# urlencode - encodes a dictionary as a query string
params = {"q": "hello world", "lang": "en"}
query = urlencode(params)
# Result: "q=hello+world&lang=en"

هل يمكن عكس ترميز URL؟

// urlencode - spaces become +
$encoded = urlencode("hello world&more");
// Result: "hello+world%26more"

// rawurlencode - RFC 3986 compliant (spaces as %20)
$raw = rawurlencode("hello world&more");
// Result: "hello%20world%26more"

الأخطاء الشائعة

The space character has two common encodings, and understanding when to use each is important:

• علامة التجزئة (#) -> %23
• علامة الدولار ($) -> %24

+application/x-www-form-urlencoded+ is a literal plus sign, not a space. Most server-side frameworks handle this correctly for query strings, but it can cause subtle bugs when encoding paths or working with custom URL schemes.

أفضل الممارسات

URL encoding has significant security implications that every web developer must understand.

كيفية التعامل مع المسافات في عناوين URL؟

%2527%27' on the second pass. If a security filter only checks the first decode, it would miss the malicious character. This can bypass input validation, cross-site scripting (XSS) filters, and SQL injection protections.

<script>%253Cscript%253E<script>, executing the attack.

ما هو ترميز النسبة المئوية؟

A common misconception is that URL encoding hides or protects data. It does not. URL encoding is trivially reversible; anyone can decode a percent-encoded string. Never use URL encoding as a substitute for encryption, authentication, or access control. Sensitive data like passwords, API keys, and personal information should never appear in URLs, encoded or not, because URLs are logged by browsers, servers, proxies, and can be visible in referrer headers.

Open Redirect Vulnerabilities

/redirect?url=https%3A%2F%2Fevil.com. If the application does not validate the target URL after decoding, attackers can use this to redirect users to phishing sites. Always validate decoded URL values against an allowlist of permitted domains.

Path Traversal

../../etc/passwd%2e%2e%2f%2e%2e%2f%65%74%63%2f%70%61%73%73%77%64. Web servers must decode and normalize paths before checking for traversal attacks.

الأسئلة الشائعة

Encoding Query Parameters

When building URLs with dynamic query parameters, always encode the values:

const baseUrl = "https://api.example.com/search";
const query = "user input with special chars: & ? = #";
const url = `${baseUrl}?q=${encodeURIComponent(query)}`;
// Result: "https://api.example.com/search?q=user%20input%20with%20special%20chars%3A%20%26%20%3F%20%3D%20%23"

Encoding URL Paths

Path segments that contain special characters need encoding, but you must not encode the path separators:

const category = "electronics & gadgets";
const product = "USB-C cable (6ft)";
const url = `/products/${encodeURIComponent(category)}/${encodeURIComponent(product)}`;
// Result: "/products/electronics%20%26%20gadgets/USB-C%20cable%20(6ft)"

Decoding URL Components

const encoded = "hello%20world%3F%26%3D%23";
const decoded = decodeURIComponent(encoded);
// Result: "hello world?&=#"

Common Pitfalls

• علامة النسبة المئوية (%) -> %25
• علامة العطف (&) -> %26
• علامة الاقتباس المفردة (') -> %27
• علامة الجمع (+) -> %2B (أو تستخدم كمساحة في معلمات الاستعلام)
• الفاصلة (,) -> %2C