本文介绍使用 Go 标准库 net/url 包安全、规范地构建含用户输入的查询 URL，避免手动拼接导致的编码错误（如空格未转为 + 或特殊字符未转义）。
本文介绍使用 go 标准库 `net/url` 包安全、规范地构建含用户输入的查询 url，避免手动拼接导致的编码错误（如空格未转为 `+` 或特殊字符未转义）。
在 Go 中手动拼接 URL 字符串（如 "query=" + userInput + "&api_key=" + key）极易引发安全与兼容性问题：空格变成非法空格而非 +，中文、斜杠、问号等字符未被百分号编码（URL encoding），导致 API 调用失败或服务端解析异常。正确的做法是交由标准库 net/url 的 url.Values 类型统一处理——它遵循 RFC 3986 规范，自动对键值进行 application/x-www-form-urlencoded 编码（即空格→+，非 ASCII 字符→%XX 形式）。
以下是一个生产就绪的构建示例：
package main
import (
"fmt"
"net/http"
"net/url"
)
func buildMovieSearchURL(searchKey, apiKey string) string {
baseURL := "https://api.example.org/3/search/movie"
v := url.Values{}
v.Set("query", searchKey) // 自动编码： "bad santa" → "bad+santa"
v.Set("api_key", apiKey) // 自动编码：若 apiKey 含特殊字符也安全
return baseURL + "?" + v.Encode()
}
// 在 HTTP 处理函数中使用
func searchHandler(w http.ResponseWriter, r *http.Request) {
r.ParseForm() // 必须调用，确保 r.Form 可用
searchKey := r.FormValue("GetSearchKey") // 等价于 r.Form.Get("GetSearchKey")
apiKey := "########" // 实际应从配置或环境变量读取
fullURL := buildMovieSearchURL(searchKey, apiKey)
fmt.Printf("Constructed URL: %s\n", fullURL)
// 输出示例：https://api.example.org/3/search/movie?query=bad+santa&api_key=########
}✅ 关键优势：
- v.Set() 和 v.Add() 会自动处理所有需转义的字符（空格、&、=、/、中文等）；
- v.Encode() 生成标准 key=value&key2=value2 格式，并确保整个查询字符串符合 URL 编码规范；
- 支持多值参数（用 v.Add() 替代 v.Set()）；
- 避免 XSS 与注入风险——不信任用户输入时，绝不直接拼接进 URL 字符串。
⚠️ 注意事项：
- 切勿自行用 strings.ReplaceAll(input, " ", "+") 或 url.PathEscape()（后者用于路径段，非查询参数）替代 url.Values；
- 若需构建含路径参数的完整 URL（如 /user/123/profile），应先用 url.Parse(baseURL) 解析，再修改 u.Path 和 u.RawQuery，而非字符串拼接；
- 生产环境中，API Key 应通过配置管理或 secret 注入，禁止硬编码。
掌握 net/url.Values 是 Go Web 开发中构建可靠外部请求的基础技能——简洁、安全、符合标准，一行 v.Encode() 胜过百行手工转义逻辑。
