开发媒体用途HTTP服务器时，提取请求头URI出现#、&类特殊字符截断的问题排查

#及后续内容被截断是协议层面的固有设计 #

• URI组成中，#及紧随其后的片段（fragment）从规范定义上就仅服务于客户端本地解析，标准要求明确规定：这部分内容绝对不能被包含在发往源服务器的HTTP请求报文中。
• 实际客户端处理流程是：当浏览器加载地址栏输入的完整URI时，会第一时间把#及后面的内容切割下来存在本地，用来定位页面内锚点、供前端JS通过Location API读取；切割后的剩余部分才会被拼成HTTP请求通过socket发送到服务器。这是Chrome、Firefox等所有合规HTTP客户端的通用处理逻辑，既不是浏览器的实现bug，也不是服务器接收时漏接了数据。
• 对应你查阅的百分号编码规则：如果确实需要把包含#的内容传递到服务端，必须先把#本身做百分号编码为%23，此时客户端就不会把后续内容识别为片段标识符，才会随请求一起发送到服务端。

&字符被截断不属于客户端固有行为，大概率是解析逻辑缺陷 #

• &是URI查询串中的合法保留字符，作用是分隔多个查询参数，正常情况下主流浏览器不会因为遇到&就截断请求内容。遇到这类截断通常是两类常见原因：
  • 服务器侧的URI提取逻辑存在漏洞：比如提取请求目标路径时，误把查询参数的拆分边界当成了URI字符串的结束位置，截取到第一个&字符时就停止了字符串提取，导致后续内容看起来“被截断”。
  • 特殊链路下的转义不匹配：如果客户端构造请求时没有对作为普通内容的&做百分号编码，在部分非标准的转发链路中，可能会把&识别为报文分隔符造成截断，但主流浏览器直接发起的原生请求不会触发这类问题。

• 针对片段内容获取：远端服务器天生无法直接拿到URI中#及后续的片段内容，这是HTTP协议设计的明确边界。如果需要获取这部分内容，只能通过前端JS主动读取本地的hash值，再通过额外的AJAX请求、表单参数显式传递给后端服务。
• 针对&截断问题：可以先直接读取socket收到的原始TCP字节流，对比流中实际是否包含&及后续内容。如果字节流中本身缺少对应内容，说明是客户端的请求构造逻辑问题；如果字节流中存在对应内容，就需要检查你的URI提取代码，确认是否完整提取了请求行中方法字段之后、HTTP版本字段之前的全部字符串，没有因为特殊字符提前终止截取逻辑。

内容的提问来源于stack exchange，提问作者user15801843