RFC 3986定义的URL百分比编码要求对所有非未保留字符（即除A-Z、a-z、0-9、-、.、_、~外的字节）逐字节进行%XX大写十六进制编码，输入须为UTF-8字节序列，空格必须编码为%20而非+，且不可二次编码已有%序列。
什么是 RFC 标准的 URL 百分比编码
RFC 3986 定义了 URL 中哪些字符必须、可以或禁止被转义：%、/、?、#、[、] 等属于“不安全字符”，必须编码；字母数字和 -、.、_、~ 属于“未保留字符”，**不应编码**；其余字符（如空格、中文、标点）则**必须编码**。所谓“完全转义”，就是对所有非未保留字符做 %XX 编码，且必须大写十六进制（%E4%B8%AD 而非 %e4%b8%ad），并 UTF-8 编码原始字节。
std::string + std::ostringstream 实现安全转义
C++ 标准库没有内置 URL 编码函数，但可用 std::ostringstream 拼接 + 手动查表完成。关键点在于：先将输入字符串按 UTF-8 解释为字节序列（不是 std::wstring 或宽字符），再对每个字节判断是否属于未保留字符集。
- 未保留字符范围是 ASCII 字符，所以只需检查单字节值（0x00–0x7F）是否落在
A-Z、a-z、0-9、-、.、_、~中 - UTF-8 多字节字符（如中文）每个字节值 ≥ 0x80，必然不属于未保留集，直接编码
- 用
std::hex+std::uppercase+std::setw(2)+std::setfill('0')保证格式为%E4
std::string url_encode(const std::string& s) {
std::ostringstream oss;
for (unsigned char c : s) {
if ((c >= 'A' && c <= 'Z') ||
(c >= 'a' && c <= 'z') ||
(c >= '0' && c <= '9') ||
c == '-' || c == '.' || c == '_' || c == '~') {
oss << c;
} else {
oss << '%' << std::hex << std::uppercase << std::setw(2) << std::setfill('0') << (int)c;
}
}
return oss.str();
}
为什么不能直接用 isalnum() 或 isprint() 判断
std::isalnum() 等 C 风格函数依赖当前 locale，可能把非 ASCII 字母（如 é、ñ）误判为可保留字符；更严重的是，它们对 UTF-8 多字节中的中间字节（如 0x81）返回 true，导致乱码被跳过编码。RFC 要求只基于字节值判断，而非字符语义 —— 所以必须硬编码 ASCII 范围，不能调用 locale-sensitive 函数。
组合式C++代码评审方案，融合静态分析、AI推理、多轮迭代评审和C++专项检查，适用于PR审查、增量代码审查、全项目评审和代码质量评分，触发词包括review cpp、cpp代码评审、C++review、代码审查。
- 错误示例：
if (std::isalnum(c)) oss << c;→ 在 en_US.UTF-8 下，é（UTF-8 编码为\xC3\xA9）中0xC3被判为非字母，但0xA9可能被某些 locale 当作图形字符放过 - 正确做法：只认 0x2D（
-）、0x2E（.）、0x5F（_）、0x7E（~）这四个 ASCII 符号，其余符号一律编码
常见错误：空格编码成 + 还是 %20
URL 查询参数（application/x-www-form-urlencoded）允许空格转 +，但 **RFC 3986 的通用 URI 编码要求空格必须为 %20**。如果你在构造 https://api.example.com/path?name=hello world 这类完整 URL，空格必须是 %20；只有 POST 表单体才用 +。混淆二者会导致 400 或 404。
立即学习“C++免费学习笔记（深入）”；
- 确认场景：
curl -G "https://httpbin.org/get" --data-urlencode "q=中文 test"→ query string 中空格变成%20 - 不要用
std::replace(s.begin(), s.end(), ' ', '+')替代编码逻辑，它破坏了多字节字符边界 - 空格字节是
0x20，不在未保留集中，自然走%20分支，无需特殊处理
最易被忽略的是：输入字符串是否已为 UTF-8。如果源数据是 Windows-1252 或 GBK 编码的 std::string，直接传入会把每个字节当 UTF-8 解析，产生错误编码。确保输入是合法 UTF-8 字节序列 —— 这不是编码函数的责任，而是调用方的前置条件。
