GET请求URL长度安全水位线应设在2KB以内，因浏览器（如IE限2083字符）、服务器（如Nginx默认4KB）及中间件均有实际限制，且中文等需编码会导致长度翻2–3倍。
GET 请求的 URL 长度到底能塞多少字符
浏览器和服务器对 method="get" 的 URL 长度都有实际限制，不是理论无限。Chrome、Firefox 理论支持约 2MB，但真实可用空间远小于此——IE 直接卡死在 2083 字符，Safari 对 query string 超过 8KB 就可能截断或拒绝解析。后端（如 Nginx 默认 large_client_header_buffers 为 4KB）也可能在接收层就丢弃超长 URL。
更关键的是：你控制不了用户用什么浏览器、代理、CDN 或 WAF。所以安全水位线建议设在 2KB 以内，含 action 原始路径 + 所有字段名 + 编码后值 + & 和 = 符号。
- 中文、空格、特殊符号会变成
%E4%BD%A0、%20等，长度翻 2–3 倍 -
action="search.php?from=home"再用 GET 提交，原始from=home很可能被覆盖，不是追加 - 浏览器地址栏显示长度 ≠ 实际发送长度；复制粘贴 URL 时可能被系统截断
GET 参数怎么拼？浏览器自动干了什么
浏览器不“聪明”，它只是机械拼接：action URL + ? + 所有 input[name] 的 name=value 对，用 & 连接，并对 value 自动做 encodeURIComponent()（但不会处理 name）。比如：
<form action="/api?q=init" method="get"> <input name="kwd" value="前端 form"> <input name="page" value="2"> </form>
提交后实际发出的 URL 是：/api?kwd=%E5%89%8D%E7%AB%AF+form&page=2 —— 注意原始 q=init 已消失，不是 /api?q=init&kwd=...。
立即学习“前端免费学习笔记（深入）”；
- 所有字段都进 query string，包括
type="submit"按钮的name和value - 空值字段也会出现，如
username=&password=，后端需容错处理 - 没设
name的input（哪怕有id）完全不会发出去
为什么 POST 有时也收不到参数？别只盯 method
很多人切到 method="post" 就以为万事大吉，结果后端 req.body 还是空对象。真正拦路的是三件事：
- 没配对的
enctype：method="post"默认用application/x-www-form-urlencoded；若表单含<input type="file">，必须显式写enctype="multipart/form-data"，否则文件字段只传个名字 - 后端没挂解析中间件：Express 要
app.use(express.urlencoded({ extended: true }))；Flask 默认读request.form，但若前端发的是 JSON 就得手动request.get_json() -
action指向了错误协议或跨域地址，请求根本没发出去（看 Network 面板里 status 是(blocked:cors)还是404）
选 GET 还是 POST？看这三点就够了
别纠结“哪个更标准”，直接问自己：
- 参数要不要出现在地址栏？要 → 用 GET（比如搜索页、分页链接）；不要 → 用 POST
- 能不能接受刷新/重复提交？能 → GET（幂等）；不能（比如下单、删数据）→ 必须 POST
- 数据会不会超 2KB 或含二进制？会 → 只能 POST + 正确
enctype
最常被忽略的一点：即使用了 POST，HTTP 明文传输下，抓包工具仍能看清所有字段——method 不等于加密，敏感字段该加 HTTPS 就加，该走 token 鉴权就走，别把责任全推给 form 属性。
