URL编码不能直接用std::hex或手写for循环，因需严格遵循RFC 3986：仅编码非unreserved字符、十六进制必须大写、跳过已有%XX、避免重复编码；推荐用curl_easy_escape（需配对curl_free），手动实现须校验%后两位十六进制合法性。
URL编码为什么不能直接用std::hex或手写for循环
因为URL编码（percent-encoding）不是简单把字节转成十六进制，它要严格遵循 RFC 3986：只对非unreserved字符（即字母、数字、- _ . ~）做编码，且必须大写十六进制（如空格→%20，不是%20或%20），还要跳过已存在的%XX避免重复编码。手写容易漏掉这些规则，比如把%本身错编成%25两次，或误编码/导致路径断裂。
推荐用curl_easy_escape做编码（C++调用libcurl）
libcurl 提供了线程安全、RFC合规的编码函数，比自己实现更可靠。注意它分配堆内存，必须配对调用curl_free。
-
char *escaped = curl_easy_escape(nullptr, input.c_str(), input.length());—— 返回%编码后的C字符串 - 编码后记得
curl_free(escaped);，否则内存泄漏 - 不支持UTF-8多字节字符自动处理；如果
input含中文，确保传入的是UTF-8编码的std::string - 若项目没引入libcurl，别为这一个功能强加依赖；可改用轻量方案（见下一条）
手动实现解码时必须检查%后是否为有效十六进制
解码比编码更危险：攻击者可能构造%zz、%1g等非法序列，直接sscanf或stoi(..., 0, 16)会出错或越界。必须逐字符校验。
- 遇到
%后，检查接下来两个字符是否都属于0-9a-fA-F，否则原样保留该% - 用
std::from_chars（C++17）或std::stoi(s.substr(i+1,2), nullptr, 16)转数值，避免异常 - 特别注意边界：字符串末尾是
%或%x（只有一个十六进制字符）——应原样保留，不解码 - 示例片段：
if (s[i] == '%' && i+2 < s.length() && isxdigit(s[i+1]) && isxdigit(s[i+2])) { /* 解码 */ } else { /* 原样追加 */ }
编码UTF-8字符串前先确认源数据确实是UTF-8
C++中std::string不带编码语义。如果你从std::wstring（Windows下通常是UTF-16）转换而来，必须显式转UTF-8，否则curl_easy_escape会把每个UTF-16码元当单字节处理，产生乱码%序列。
立即学习“C++免费学习笔记（深入）”；
- Windows下可用
WideCharToMultiByte(CP_UTF8, ...) - Linux/macOS通常
std::string默认UTF-8，但读文件或用户输入时仍需验证 - 别依赖
std::codecvt_utf8（C++20已弃用），改用iconv或utf8cpp等成熟库 - 调试时打印字节序列（如
for(auto b : s) printf("%02x ", (unsigned char)b);）比看cout 更可靠
实际用的时候，最常被忽略的是编码前的数据来源和编码粒度——对整个URL字符串直接编码，可能破坏https://里的:和/，应该只编码query参数值（如name=张三中的张三），而不是整个URL。
