La normalizzazione del percorso è il processo che un server web usa per decodificare, ripulire e interpretare un percorso URL prima di decidere quale risorsa servire. Questo può includere la conversione di byte con codifica percentuale in caratteri, la risoluzione di segmenti puntuali come ../ e l'unificazione di forme equivalenti del percorso in un unico percorso canonico.
È importante perché gli strumenti di sicurezza non sempre normalizzano i percorsi allo stesso modo del server di origine. Un Web Application Firewall può ispezionare l'URL grezzo e non rilevare un percorso bloccato se appare in una forma codificata o alterata, mentre l'applicazione lo decodifica in seguito e raggiunge il gestore sensibile. Gli aggressori usano questa discrepanza per aggirare i filtri, accedere a endpoint nascosti o raggiungere codice vulnerabile. I difensori riducono il rischio assicurandosi che proxy, WAF e applicazioni applichino regole di analisi coerenti e testando percorsi codificati e malformati durante le revisioni di sicurezza.