URL anatomy ve resource addressing

Önce resource ile adresini ayır

Duru kitap kataloğunda Atlas kaydını açıyor. Resource, uygulamanın bu kayda verdiği kavramsal kimliktir; URL onu adresleyen identifier’dır. Server aynı kaydı HTML sayfası veya JSON representation olarak sunabilir. URL metnini görünce hangi bytes’ın döneceğini, kaydın varlığını veya Duru’nun erişim hakkını henüz bilmiyoruz.

RFC 3986’da URI, resource identification için genel çerçevedir; URL, erişim mekanizması veya konumla ilişkili identifier türü olarak anlatılır. Güncel browser API’sinin adı URL’dir ve WHATWG standardı browser’ların ortak parsing davranışını tanımlar. RFC generic syntax ile browser parsing’i bütün köşe durumlarında aynı algoritma ilan etme.

Adresin parse edilmesi DNS resolution, TCP/TLS kurulması veya HTTP request gönderilmesi değildir. Bu derste yalnız yerel metin işleme yapılır. books.example bir eğitim adı; sahne oraya bağlanmaz.

Bir URL’yi parçalara ayır

https://books.example:8443/catalog/atlas?lang=tr&tag=network&tag=web#summary örneğini soldan sağa oku: scheme, authority içindeki host/port, path, query ve fragment. Ayırıcıların hangi component’i başlattığı anlamı belirler; her şeyi slash’a göre kesmek yeterli değildir.

Artifact, new URL(input) sonucundan protocol, hostname, host, port, pathname, search ve hash alanlarını gösterir. API’nin protocol değeri https: olur; search ? ile, hash # ile başlar. URL record’daki kavram ile getter’ın kullanıcıya sunduğu metin representation’ını ayır.

Örnekte hostname books.example, host books.example:8443 olur. Path /catalog/atlas’tır. Query üç pair taşır; fragment summary’dir. Bu çıktılar parser observation’dır; henüz request veya server route kararı yok.

Scheme hangi adres ailesini seçer?

Scheme adresin nasıl yorumlanacağını belirleyen ilk component’tir. http ve https web resource erişimi için kullanılır; mailto gibi başka scheme’ler aynı transport veya aynı path yapısını vaat etmez. Her geçerli URL’nin “browser bir HTTP GET yapacak” anlamına geldiğini varsayma.

https metni, HTTPS kullanma niyetini belirtir. Parser başarılı diye certificate validation yapılmış veya güvenli bir bağlantı kurulmuş olmaz. TLS kontrolü ayrı derste gerçek handshake ve validation sınırlarıyla ele alınır.

Application yalnız HTTPS resource link’i kabul edecekse scheme policy’si parser sonucuna uygulanır. Geçerli syntax ile uygulamada uygun kullanım iki ayrı karardır; bu ders policy sonucunu network başarısı olarak sunmaz.

Host ve port, path’in parçası değildir

Host, authority içinde hedefi adlandırır; domain name veya IP address biçimleri olabilir. DNS’in role’ü domain name’i çözümlemekle ilgilidir. Parser’ın hostname alanını üretmesi DNS cevabını veya bir server process’in varlığını kanıtlamaz.

Port, network service endpoint seçimine katılan sayısal component’tir. 8443 sayısı bu fixture’da explicit’tir; evrensel “güvenli alternatif HTTPS portu” kuralı değildir. Service’in gerçekten dinleyip dinlemediği ve protocol’ün çalışıp çalışmadığı ayrıca doğrulanır.

HTTPS default port 443’tür. new URL("https://books.example:443/catalog") serialization’da default port’u kaldırır; port getter’ı boş string döndürür. Bu, hedefin portsuz olduğu anlamına gelmez. Explicit non-default 8443 ise korunur ve origin karşılaştırmasını etkiler.

Host/hostname ayrımı özellikle log ve configuration incelerken işe yarar: host port içerebilir, hostname içermez. Raw metinde karakter aramak yerine aynı parser’ın ürettiği component’lerle karar ver.

Path bir uygulama adresidir

/catalog/atlas, authority’den sonra gelen hierarchical path’tir. Slash’larla ayrılan segments uygulamanın route sözleşmesine girdi olabilir. Bunun server diskinde catalog klasörü ve atlas dosyası olması gerekmez: route handler bir database kaydından response üretebilir.

Path’in anlamını server/framework belirler; URL parser uygulama route tablosunu bilmez. Trailing slash veya case değişikliği uygulamada farklı resource’a, redirect’e ya da aynı route’a karşılık gelebilir. Bu fixture’da /catalog/atlas yalnız kayıt adresidir; dosya sistemi sonucu çıkarılmaz.

Query ile path’i aynı alan sayma. /catalog/atlas?lang=tr örneğinde pathname query’yi içermez. Hangi alanın router’a, locale seçimine veya cache key’e girdi olduğu sonraki işlemde ayrıca tanımlanır.

Query pair’leri kayıpsız oku

Query ? ile başlar; URL standardı bu component’in bütün uygulamalarda aynı business anlamını taşımasını şart koşmaz. Key=value&key=value, URLSearchParams’ın işlediği yaygın form representation’ıdır. Application hangi key’in geçerli, hangi değerin kabul edilebilir olduğunu ayrıca belirler.

Bu örnekte tag iki kez vardır. searchParams.get("tag") ilk değeri network olarak döndürür; getAll("tag") network ve web değerlerini birlikte verir. Tek değer varsayan code ikinci etiketi sessizce kaybedebilir. Parametre multiplicity’si, syntax ve application schema arasındaki bir sözleşmedir.

URLSearchParams’a bütün URL string’ini query sanarak verme; URL object’in searchParams alanını veya ayrılmış search metnini kullan. Query parse edilince lang=tr bir locale adayıdır; object ownership veya authenticated identity kanıtı değildir.

Fragment hangi tarafta kalır?

#summary bir fragment’tir. Normal HTTP resource request’inin target’ına gönderilmez; client, representation içindeki ilgili bölümü seçmek için kullanabilir. Bu URL’den origin-form path/query türetirsek /catalog/atlas?lang=tr&tag=network&tag=web elde ederiz; #summary dışarıda kalır.

Fragment’ın yalnız browser tarafından işlenmesi “gizli veri kasası” olduğu anlamına gelmez. Page code onu okuyabilir ve ayrıca bir request’e koyabilir. Buradaki dar claim, ilk URL’nin fragment component’inin normal resource request’ine dahil olmamasıdır.

Sahne path/query adayını hazırlayıp fragment’ı client tarafında ayrı gösterir. Gerçek HTTP gönderimi veya DOM scrolling çalıştırılmaz; request-target türetme ile fragment tüketimi ayrı local işlemlerdir.

Encoding, metni taşıma biçimidir

Percent-encoding bir byte’ı % ve iki hexadecimal digit ile temsil eder. Unicode metnin önce hangi encoding ile byte’a dönüştüğü önemlidir. q=notlar ı örneğinde URLSearchParams, UTF-8 representation’ını ve form serialization’ını kullanır; artifact sonucu q=notlar+%C4%B1 olur.

Form query serialization’da space + olur; literal + değeri ise %2B olarak korunur. Genel URL component’lerinde “+ her zaman space” kuralı yoktur. Aynı resource’a ait URL.search ile URLSearchParams serialization’ı metinsel olarak farklı görünebilir; hangi katmanın temsilini okuduğunu belirt.

Encoding encryption veya authorization değildir. Değer açıldığında yine aynı application input’tur. Zaten encoded metni raw değer sanıp tekrar encode etmek representation’ı değiştirir; parsing ve validation sırasını tek bir açık sözleşmede tut.

Artifact native API ile round-trip yapılan küçük normal metin örnekleri içerir. Server’ın özel decode pipeline’ı veya bir parser bypass modeli bu fixture’da yoktur.

Absolute adres ve relative reference

Absolute URL scheme ve gerekli component’leriyle kendi parsing bağlamını sağlar. /catalog/atlas gibi relative reference ise base olmadan hangi host’a ait olduğunu söylemez. new URL("/catalog/atlas") TypeError üretir; aynı reference geçerli bir HTTPS base ile çözülebilir.

Relative resolution string concatenation değildir. Base path’in son slash’ı, reference’ın root-relative veya current-directory-relative oluşu ve query/fragment türü sonucu etkiler. WEB-06.03 bu hesapları ayrı ayrı izler.

Parser başarılıysa oluşan absolute URL’nin component’lerini yeniden okuyabilirsin. Henüz destination’ın erişilebilirliğini veya application policy’sinde uygun olduğunu bilmiyoruz; çözümleme, adlandırma ve izin farklı sorulardır.

Trust hangi işlemde kuruluyor?

Bir security incelemesinde önce input’u tüketen katmanı bul: browser parser mı, server router mı, application validation mı? Aynı URL farklı amaçlar için işlenebilir. “Text looks like our domain” ifadesi parser sonucunun veya policy kararının yerine geçmez.

Duru’nun normal katalog link’ini artifact üzerinden izle. Scheme/hostname/port adayları yerel olarak elde edilir; resource authorization henüz uygulanmaz. Sorulacak soru, sonraki katmanın hangi structured alanı hangi amaç için trusted saydığıdır.

Artifact’ta tags array’ini, ilk get sonucunu ve request-target adayını yan yana koy. network ve web iki ayrı query value’dur; summary fragment’ı bu listede bulunmaz. Review notunda ikinci tag’ın neden kaybolmadığını ve fragment’ın hangi aşamada client’ta kaldığını açıkça anlat.

Representation kaybı karar kaybına dönüşebilir

İki tag değerinden yalnız birini tutmak veya fragment’ı request-target sanmak, işlem hakkında yanlış sonuç üretir. Önce ham reference’ı, parser sonucunu ve application schema sonucunu ayrı gözlemler olarak kaydet; birbirinin yerine yazma.

Bu link’te iki tag query pair’i ile #summary fragment’ı farklı consumer’lara aittir. URL parser bunları ayrı alanlarda verir; application schema hangi query değerlerinin kullanılacağını belirler. Fragment’ın request-target dışında kalması, client code’un onu ayrıca başka bir mesajda göndermesini engelleyen bir gizlilik kontrolü değildir.

Encoding branch’inde raw A+B ile serialized q=A%2BB değerlerini karşılaştır. Farklı metinler aynı normal değerin iki representation’ıdır; bu farkı yeni permission veya encrypted secret diye raporlama. Round-trip başarısı yalnız seçilmiş API dönüşümünü doğrular, server’ın bütün input pipeline’ını değil.

Aynı parser, açık application policy

URL’yi standard parser ile çözümle; izin verilen scheme, destination veya port gibi uygulama gereksinimlerini structured sonuç üstünde değerlendir. Parser’ın başarılı olması allow kararı değildir. Query key/value schema’sı da ayrı doğrulanır.

Configuration’da raw URL, normalized URL ve policy sonucu arasındaki farkı anlaşılır tut. Observation defterinde accepted-by-parser ile accepted-by-application ayrı alanlar olmalıdır; network success ancak gerçekten ölçüldüyse eklenir.

Log ve link üretiminde veri sınırını koru

Query’ye secret veya kişisel veriyi gereksizce koyma; URL farklı log, history ve telemetry yüzeylerinde görünebilir. Bu fixture yalnız public katalog ve etiket bilgisi taşır. Log için gerekli alanları seç; bütün URL’yi varsayılan olarak kalıcı identity kaydı yapma.

Link üretirken değerleri string birleştirerek tahmin etmek yerine URL/URLSearchParams ile oluştur. Sonuçta beklenen pathname, query multiplicity ve fragment ayrımını benign unit fixture’larla doğrula; encoding’i güvenlik kontrolü diye etiketleme.

Lab observation’ında port getter’ının boş olduğu default-port case’i ayrı tut. Bir ekip arkadaşı bunu port eksikliği sanarsa normalized href ve scheme’i birlikte göster. Log veya configuration karşılaştırması için hangi representation’ın kullanıldığını sabitlemek, aynı hedefin iki farklı metin biçimini doğru yorumlamaya yardım eder.