상대 URL 해석기 (RFC 3986)

RFC 3986은 빈 경로로 http://g로 해석합니다. 브라우저와 Node가 구현하는 WHATWG URL 표준은 특수 스킴의 빈 경로를 /로 정규화하므로 http://g/가 됩니다. 둘 다 의도된 동작입니다. URL을 문자열로 비교하거나 캐시 키로 쓸 때 문제가 되는데, 같은 자원을 가리켜도 두 형태는 같지 않기 때문입니다.

§5.2.2는 옛 부분 URI 규칙과의 하위 호환을 위한 비엄격 변형을 제공합니다. 참조의 스킴이 기준과 같으면 무시하고 참조를 상대 참조로 다루는 것입니다. 그러면 http:g가 http:g로 남는 대신 http://a/b/c/g가 됩니다. RFC는 이를 허용하면서 의존하지 말라고 권하고, 브라우저는 그렇게 합니다. 토글로 내 경우가 어느 동작에 의존하는지 볼 수 있습니다.

..은 바로 앞 세그먼트 전체를 제거하고, g;x=1이 한 세그먼트이기 때문입니다 — 세미콜론은 일반 문법에서 특별한 의미가 없습니다. 그래서 경로가 /b/c/y가 됩니다. 그렇게 쓴 매트릭스 파라미터가 취약한 이유가 정확히 이것이고, 뒤에 점 세그먼트가 하나라도 오면 함께 사라집니다.

점 세그먼트 제거 전에 참조가 경로·쿼리·프래그먼트로 나뉘고, 거기서 /../는 쿼리 안에 있기 때문입니다. §5.4.2가 이를 특별히 언급하며, 일부 파서가 참조 전체를 먼저 병합해 틀린다고 적어 뒀습니다. 쿼리에 슬래시가 들어가는 일이 드물어 좀처럼 드러나지 않는 버그입니다.

해석 자체가 요구하는 것 외에는 하지 않습니다. 스킴·호스트의 대소문자, 퍼센트 인코딩, 기본 포트, 빈 경로는 모두 §5.2가 남긴 그대로 둡니다. 정규화는 §6이고 별개의 결정이기 때문입니다. 비교해서 같아야 하는 URL이 필요하면 해석기가 해 주기를 기대하지 말고 의도적으로 정규화하세요.