Nginx代理中处理特殊URL编码的关键是控制解码时机与转发完整性：默认URI解码匹配location但proxy_pass可能破坏原始编码，应避免隐式拼接、关闭merge_slashes和ignore_invalid_headers等干扰行为，并分层拦截非法编码、放行合法编码，同时推动前后端协同减少编码依赖。
在 Nginx 代理中处理特殊 URL 编码字符，核心是控制“编码是否被解码”以及“转发时是否保持原样”。Nginx 默认会对请求 URI 做一次解码再匹配 location，但 proxy_pass 转发时又可能不重新编码，导致后端收到未编码或半解码的路径而报错（如 400、404）。关键不在“能不能”，而在“要不要解码”和“转给谁看”。
确保 proxy_pass 转发原始编码不丢失
Nginx 的 proxy_pass 默认会尝试“规范化”路径：自动解码 URI 再拼接，这容易破坏原本合法的编码（如 %2F 变成 /，引发路径穿越；%2B 变成空格，参数错乱）。解决方法是避免隐式拼接，改用显式传递完整 URI：
- 用正则捕获整个请求路径，直接拼接到目标地址：
location /api/ {<br> if ($request_uri ~ ^/api/(.*)$) {<br> proxy_pass http://backend/$1;<br> }<br>} - 或更稳妥地关闭路径重写行为：在
location中不带结尾斜杠，且proxy_pass后不跟路径段，例如：location /api/ {<br> proxy_pass http://backend;<br>}→ 这样 Nginx 会把/api/foo%2Bbar完整转发为http://backend/api/foo%2Bbar
禁用自动路径归一化和非法头拦截
某些默认行为会干扰含编码的请求：
- 关闭路径合并：
merge_slashes off;（防止//被压成/，破坏%2F%2F） - 允许含百分号的 header：
ignore_invalid_headers off;（避免因Referer或自定义头含%被拒） - 禁用 server_name 自动重定向干扰：
server_name_in_redirect off;（防止重定向时二次编码）
这些应放在 http 或 server 块顶层，不是每个 location 单独配。
主动拦截高危编码，放行合法编码
不加区分地放行所有 % 编码有风险。建议分层处理：
- 拒绝非法编码格式（如
%GZ、%00）：if ($request_uri ~ "%[^0-9A-Fa-f]{2}") { return 400; } - 阻断目录遍历和空字节：
if ($uri ~ "\.\./|%00|%(2e){2}") { return 403; } - 清理干扰字符（如分号截断）：
rewrite ^(/[^;]*)\;.*$ $1 break;
注意：这些 if 必须放在 location 内，且优先于 proxy_pass 执行。
前端与后端协同，减少运行时编码负担
最省心的方式是从源头规避：
- 前端构建时避免生成含括号、空格、中文的静态资源名（如用
style-v1.css替代style(v1).css） - 后端接口设计遵循 RFC 3986，只使用
A-Z a-z 0-9 - . _ ~等安全字符，必要时用 Base64 或下划线替代 - 若必须支持遗留路径，可用
map提前做标准化映射：map $uri $clean_path {<br> ~^/old/(.+)%28(.+)%29(.*)$ /new/$1-$2$3;<br> default $uri;<br>}
再配合try_files $clean_path @proxy;
不复杂但容易忽略
