URL 编码解释：百分号编码、查询字符串与安全链接

完整 URL 可以包含 scheme、host、path、query 和 fragment。每一部分规则不同。路径里的斜杠和查询值里的斜杠含义不同。编码应在组件层完成，不应盲目编码或解码整个 URL。

百分号编码用 % 加两个十六进制数字表示一个字节。空格、非 ASCII 文本和保留字符都可在选择 UTF-8 等编码后表示。查询值里的 & 必须编码，否则会被当成新参数分隔符。

查询字符串通常由 name=value 组成，并用 & 分隔。键和值都可能需要编码。像 red & blue 这样的值不能直接拼接。使用结构化 API 重建查询字符串比手写字符串拼接更安全，也更能处理重复键和空值。

在 application/x-www-form-urlencoded 中，加号常代表空格；在其他 URL 位置，加号可能就是字面加号。搜索 URL、邮件链接和编码 token 经常因此出错。如果加号本身有意义，应测试真实接收方解析规则。

双重编码是把已经编码的值再次编码。百分号会变成 %25，所以 %20 会变成 %2520。接收方解码一次后仍看到编码文本。双重解码也危险，因为它可能把安全外观的字符串变成活跃分隔符。

# 后面的 fragment 由浏览器处理，通常不会随 HTTP 请求发给服务器。调试分析、认证跳转和客户端路由时要注意这一点。如果服务器需要该值，应放在路径或查询里。

先确定要构建的 URL 部分。把原始值和结构分隔符分开，对路径片段或查询值使用组件级编码 API。组装后再解析回来，确认参数与预期一致。用户生成链接还要验证 scheme 和 host。