我是否可以在<ahref…>中对与符号进行编码？

我正在编写自动生成HTML的代码，并且希望它正确编码。

假设我正在生成指向以下URL的链接：

http://www.google.com/search?rls=en&q=stack+overflow

我假设所有属性值都应进行HTML编码。（如果我写错了，请纠正我。）因此，这意味着如果将上述URL放入锚标记中，则应将＆编码为&，如下所示：

<a href="http://www.google.com/search?rls=en&amp;q=stack+overflow">

那是对的吗？

是的。HTML实体在HTML属性内部进行解析，并且流浪&会造成歧义。这就是为什么您应该始终编写&而不是仅&在所有 HTML属性内部编写的原因。

就是说，只需要对&引号进行编码。如果属性中有特殊字符，则无需编码即可满足HTML解析器的要求。é

过去，URL需要使用非ASCII字符（例如）进行特殊处理é。您必须使用百分号转义编码，在这种情况下，它会给出%C3%A9，因为它们是由RFC 1738定义的。但是，RFC 1738已被RFC 3986（URI，统一资源标识符）和RFC 3987（IRI，国际化资源标识符）取代，WhatWG以此为基础来定义浏览器在看到具有非ASCII的URL时的行为。自HTML5以来的字符。因此，现在可以安全地在URL中包含非ASCII字符，无论是否经过百分比编码。

根据当前的官方HTML建议，必须在例如&此类情况下对与号进行转义。但是，浏览器不需要它，因此HTML5 CR建议将此规则设为，以便将特殊规则应用于属性值。在这方面，当前的HTML5验证器已经过时了（请参见带有注释的错误报告）。

仍然可以转义属性值中的“＆”号，但除了使用当前工具进行验证外，实际上没有必要将其转义为href值（如果您开始转义它们，则存在犯错误的小风险）。

我发布了一个新答案，因为我发现zneak的答案没有足够的示例，没有将HTML和URI处理显示为不同的方面和标准，并且缺少一些小东西。

您有两个关于链接（<a href）中URL的标准。

第一个标准是RFC 1866（HTML 2.0），其中在“ 3.2.1。数据字符”中，您可以读取用作HTML属性值时需要转义的字符。（属性本身根本不允许使用特殊字符，例如<a hr&ef="http://...，不允许，也不允许<a hr&amp;ef="http://...。）

后来这已进入HTML 4标准，您需要转义的字符为：

<   to   &lt;
>   to   &gt;
&   to   &amp;
"   to   &quote;
'   to   &apos;

另一个标准是RFC 3986 “通用URI标准”，在该标准中处理URL（这种情况发生在浏览器要跟随链接，因为用户单击HTML元素时）。

reserved    = gen-delims / sub-delims

gen-delims  = ":" / "/" / "?" / "#" / "[" / "]" / "@"

sub-delims  = "!" / "$" / "&" / "'" / "(" / ")" / "*" / "+" / "," / ";" / "="

对这些字符进行转义很重要，以便客户端知道它们是否代表数据或定界符。

未转义的示例：

https://example.com/?user=test&password&te&st&goto=https://google.com

示例，完整合法的URL

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

HTML属性值中的示例完全合法的URL：

https://example.com/?user=test&password&te%26st&goto=https%3A%2F%2Fgoogle.com

同样重要的场景：

• JavaScript作为值：

  <img src="..." onclick="window.location.href = &quot;https://example.com/?user=test&amp;password&amp;te%26st&amp;goto=https%3A%2F%2Fgoogle.com&quot;;">...</a>（是的，;;是正确的。）

• JSON作为值：

  <a href="..." data-analytics="{&quot;event&quot;: &quot;click&quot;}">...</a>

• 转义内容中的转义内容，双重编码，参数内URL中的URL等，...

  http://x.com/?passwordUrl=http%3A%2F%2Fy.com%2F%3Fuser%3Dtest&password=""123

是的，你应该转换&到&。

W3C的这个html验证器工具对于此类问题很有帮助。它将告诉您特定页面的错误和警告。