Кодировать ли амперсанды в <a href…>?

Я пишу код, который автоматически генерирует HTML, и я хочу, чтобы он правильно кодировал вещи.

Допустим, я создаю ссылку на следующий URL:

http://www.google.com/search?rls=en&q=stack+overflow

Я предполагаю, что все значения атрибутов должны быть в кодировке HTML. (Пожалуйста, исправьте меня, если я ошибаюсь.) Таким образом, это означает, что если я помещаю вышеупомянутый URL в тег привязки, я должен закодировать амперсанд &следующим образом:

<a href="http://www.google.com/search?rls=en&amp;q=stack+overflow">

Это правильно?

Да, это так. Сущности HTML анализируются внутри атрибутов HTML, и отклонение &может привести к неоднозначности. Вот почему вы всегда должны писать, &а не только &внутри всех атрибутов HTML.

Тем не менее, только &и кавычки должны быть закодированы. Если у вас есть специальные символы, такие как éв вашем атрибуте, вам не нужно кодировать их для соответствия анализатору HTML.

Раньше было так, что URL-адреса требовали специальной обработки с не-ASCII символами, например é. Вы должны были закодировать тех, кто использует процент-экранирование, и в этом случае это дало бы %C3%A9, потому что они были определены RFC 1738 . Однако RFC 1738 был заменен RFC 3986 (URI, унифицированными идентификаторами ресурсов) и RFC 3987 (IRI, интернационализированными идентификаторами ресурсов), на которых WhatWG основывал свою работу, чтобы определить, как должны вести себя браузеры, когда они видят URL с не-ASCII символы в нем начиная с HTML5 . Поэтому теперь безопасно включать не-ASCII символы в URL, в процентах или нет.

Согласно действующим официальным рекомендациям HTML, амперсанд должен быть экранирован, например, &в подобных ситуациях. Однако браузеры не требуют этого, и HTML5 CR предлагает сделать это правилом , чтобы специальные значения применялись в значениях атрибутов. Текущие валидаторы HTML5 в этом отношении устарели (см. Сообщение об ошибке с комментариями).

По-прежнему будет возможно избежать амперсандов в значениях атрибутов, но, кроме проверки с помощью текущих инструментов, нет практической необходимости избегать их в hrefзначениях (и существует небольшой риск допустить ошибки, если вы начнете экранировать их).

Я публикую новый ответ, потому что обнаружил, что в ответе zneak недостаточно примеров, он не показывает обработку HTML и URI как различные аспекты и стандарты, а некоторые мелочи отсутствуют.

У вас есть два стандарта, касающиеся URL в ссылках ( <a href).

Первым стандартом является RFC 1866 (HTML 2.0), где в «3.2.1. Символы данных» вы можете прочитать символы, которые необходимо экранировать при использовании в качестве значения для атрибута HTML. (Сами атрибуты вообще не допускают специальных символов, например <a hr&ef="http://..., не разрешены и не разрешены <a hr&amp;ef="http://....)

Позже это вошло в стандарт HTML 4 , символы, которые вы должны экранировать:

<   to   &lt;
>   to   &gt;
&   to   &amp;
"   to   &quote;
'   to   &apos;

Другим стандартом является RFC 3986 «Общий стандарт URI», где обрабатываются URL-адреса (это происходит, когда браузер собирается перейти по ссылке, потому что пользователь нажал на элемент HTML).

reserved    = gen-delims / sub-delims

gen-delims  = ":" / "/" / "?" / "#" / "[" / "]" / "@"

sub-delims  = "!" / "$" / "&" / "'" / "(" / ")" / "*" / "+" / "," / ";" / "="

Важно избегать этих символов, чтобы клиент знал, представляют ли они данные или разделитель.

Пример unescaped:

https://example.com/?user=test&password&te&st&goto=https://google.com

Пример, полностью допустимый URL

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

Пример полностью допустимого URL в значении атрибута HTML:

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

Также важны сценарии:

• Javascript как значение:

  <img src="..." onclick="window.location.href = &quot;https://example.com/?user=test&amp;password&amp;te%26st&amp;goto=https%3A%2F%2Fgoogle.com&quot;;">...</a>(Да, ;;это правильно.)

• JSON как значение:

  <a href="..." data-analytics="{&quot;event&quot;: &quot;click&quot;}">...</a>

• Экранированные вещи внутри экранированных вещей, двойное кодирование, URL внутри URL внутри параметра и т. Д., ...

  http://x.com/?passwordUrl=http%3A%2F%2Fy.com%2F%3Fuser%3Dtest&password=""123

Да, вы должны преобразовать &в &.

Этот инструмент проверки html от W3C полезен для вопросов, подобных этому. Он расскажет вам об ошибках и предупреждениях для конкретной страницы.