OpenID Connect查询字符串序列化：空格编码为+还是%20？

核心结论 #

OIDC规范中的示例使用scope=openid%20profile%20email不存在误导或错误，空格编码为+或%20的两种方式均符合规范要求，只是分属不同编码场景下的习惯用法。

规范层面的兼容性依据 #

• application/x-www-form-urlencoded格式的双重规则：该格式的传统定义允许将空格替换为+，而URI通用编码规则则要求空格编码为%20。现代URL标准明确规定，服务器在解析此类数据时，必须同时识别这两种编码形式作为空格的等价表示。
• OIDC的规范指向：OIDC指定查询字符串遵循application/x-www-form-urlencoded格式，而该格式的兼容范围天然包含两种空格编码方式，因此两种写法都属于合规选项。

示例选择%20的合理性 #

OIDC示例采用%20而非+，主要是出于URI场景的通用性考虑：

• OIDC的查询参数通常嵌入在URI中，使用URI标准的%20编码更贴合URI的整体编码逻辑，避免开发者混淆表单提交与URI参数传递的编码差异。
• %20在所有URI解析器中都能被正确识别，不存在兼容性风险，是更稳妥的通用写法。

开发者实践建议 #

• 优先使用语言或框架提供的标准编码工具（如URLSearchParams、URLEncoder）处理参数编码，这些工具会自动遵循对应规范，无需手动纠结编码细节。
• 服务器端实现时，确保同时支持+和%20的解码，避免因编码方式不同导致的参数解析失败。

内容的提问来源于stack exchange，提问作者Andreas F