ASP.NET Core与Angular应用中URL编码令牌的+字符异常问题排查

疑问解答 #

1. 为何'+'会转为空格，转换发生在哪个环节？ #

这是URL编码规范冲突导致的：

• 后端HttpUtility.UrlEncode遵循application/x-www-form-urlencoded规范，该规范将空格编码为+，原始+编码为%2B。
• 用户点击邮件链接后，浏览器自动解析URL，把%2B还原为+；Angular的queryParams提取参数时，又按application/x-www-form-urlencoded规则将+解析为空格。
• 前端将带空格的令牌传给后端时，ASP.NET Core模型绑定再次按同一规范处理，空格保留，最终令牌与原始值不符，验证失败。

2. 更标准的根本处理方式 #

无需自定义扩展方法，改用RFC 3986标准的URL编码/解码即可彻底解决：

后端编码（ForgotPassword端点）

替换HttpUtility.UrlEncode为Uri.EscapeDataString，它按RFC 3986将所有特殊字符（包括+）编码为%XX格式，不会用+表示空格：

// ForgotPassword endpoint
// ... 生成resetToken的代码 ...
var encodedToken = Uri.EscapeDataString(resetToken);
var encodedEmail = Uri.EscapeDataString(user.Email);
var resetLink = $"{frontendBaseUrl}/account/reset-password?token={encodedToken}&date={Uri.EscapeDataString(encodedDate)}&email={encodedEmail}";
await SendResetPasswordEmail(user, resetLink);

后端解码（ResetPassword端点）

用Uri.UnescapeDataString替代自定义方法，正确还原所有RFC 3986编码的字符：

// ResetPassword endpoint
var decodedToken = Uri.UnescapeDataString(dto.Token);
var result = await _userManager.ResetPasswordAsync(user, decodedToken, dto.NewPassword);

前端无需额外修改

Angular的queryParams会正确提取编码后的参数，不会将%2B解析为空格，直接传递给后端即可。

更推荐的方案是使用Base64Url编码：ASP.NET Core的UserManager.GeneratePasswordResetTokenAsync生成的令牌本身就是Base64Url格式（不含+、/、=），如果是自定义令牌生成逻辑，可直接改用该编码从根源避免特殊字符问题：

// 生成Base64Url格式令牌
var resetToken = Convert.ToBase64String(yourTokenBytes).Replace('+', '-').Replace('/', '_').TrimEnd('=');
// 解码还原
var decodedBytes = Convert.FromBase64String(resetToken.Replace('-', '+').Replace('_', '/').PadRight(resetToken.Length + (4 - resetToken.Length % 4) % 4, '='));

3. 当前自定义方案的潜在隐患 #

• 误处理合法空格：若令牌本身包含空格（概率极低但存在可能），Replace(" ", "+")会错误转换为+，导致令牌永久失效。
• 兼容性问题：自定义逻辑未遵循标准规范，在不同浏览器、框架或后端版本中可能出现不可预见的解析错误。
• 维护风险：后续开发者可能不理解该方法作用，修改或删除后导致问题复发。

内容的提问来源于stack exchange，提问作者x19