url - 根据 w3c 规范，用户名或密码中可以包含哈希 # 吗？

Question

使用基本身份验证制作 url 时:

https://username:password@someurl.com/some/api/path

如果username 或password 包含# 哈希符号，它是有效还是无效？哈希通常位于 URL 的末尾，因此我不确定它是否是用于用户名和/或密码的有效字符。

我无法从 w3c url 规范中得知...它说 username 和 password 应该是 alphanum2，我可以'弄清楚这到底是什么意思。

http://www.w3.org/Addressing/URL/url-spec.txt

如今，我们经常被鼓励谨慎选择更复杂的密码，包括特殊字符，如 # 哈希。

Answer 1

(警告:请注意 RFC 7230 disallows 在 HTTP/HTTPS URI 中使用 userinfo 子组件；对于所有 URI 通常格式为 username:password 是 deprecated 。)

HTTPS URI 方案是 defined in RFC 7230 ，它引用 RFC 3986 来定义 authority component .

authority 组件可以包含 userinfo subcomponent ，其语法定义为:

userinfo    = *( unreserved / pct-encoded / sub-delims / ":" )

在appendix A您可以查找这些部分的定义方式。总而言之，这些是允许的字符:

• a-z, A-Z

• 0-9

• -。_~!$&'()*+,;=:

• 任何percent-encoded character

因此您不能在 userinfo 子组件中直接使用 #，但您可以使用它的百分比编码形式 (%23), 例如对于 foo#bar:

https://foo%23bar@example.com/some/api/path