URI中getRawQuery vs getQuery：为何getQuery存风险应优先用getRawQuery

在处理URL查询参数时，我强烈建议你放弃使用getQuery这类自动解析的方法，转而使用getRawQuery，核心原因有两个：

• 信息丢失风险：getQuery通常会自动按&拆分参数，要是某个参数的值本身包含&（比如嵌套的URL参数），这种自动拆分就会把原本属于同一个参数的内容拆成多个参数，直接丢失原始的参数结构。
• 安全隐患：自动解码逻辑可能会提前处理一些特殊字符，导致原本经过编码的安全内容被意外解析，增加注入类风险；而手动控制解码流程能让你更精准地把控每个参数的处理逻辑，安全性更高。

正确的处理步骤 #

对于已知包含编码值的查询参数，应该按以下流程处理：

1. 调用getRawQuery()获取完整的原始查询字符串，避免自动拆分带来的信息丢失；
2. 手动按&字符拆分所有键值对；
3. 对每个键值对，按=拆分键和编码后的参数值（注意设置拆分限制，避免值本身包含=的情况）；
4. 使用URLDecoder对编码值进行手动解码，指定正确的字符集（比如UTF-8）。

示例说明 #

假设我们有这样一个URL：www.example.com?url=www.otherexample.com%3Fb%3D2%26c%3D3&d=4
其中url参数的值是经过URL编码的www.otherexample.com?b=2&c=3（编码后变成www.otherexample.com%3Fb%3D2%26c%3D3）。

如果用getQuery处理，会错误地把参数拆成url=www.otherexample.com?b=2、c=3、d=4三个部分，完全丢失了url参数的完整值。

而用getRawQuery处理的流程是：

1. 获取原始查询字符串：url=www.otherexample.com%3Fb%3D2%26c%3D3&d=4；
2. 按&拆分得到两个键值对：url=www.otherexample.com%3Fb%3D2%26c%3D3和d=4；
3. 对每个键值对按=拆分，再解码值：
   • 解码www.otherexample.com%3Fb%3D2%26c%3D3得到完整的www.otherexample.com?b=2&c=3；
   • 解码4得到4。

代码示例（Java） #

import java.net.URLDecoder;
import java.nio.charset.StandardCharsets;

public class QueryParamHandler {
    public static void main(String[] args) {
        // 模拟从URI获取原始查询字符串
        String rawQuery = "url=www.otherexample.com%3Fb%3D2%26c%3D3&d=4";
        
        if (rawQuery != null && !rawQuery.isEmpty()) {
            String[] paramPairs = rawQuery.split("&");
            for (String pair : paramPairs) {
                // 用limit=2确保值里的=不会被拆分
                String[] keyValue = pair.split("=", 2);
                String paramKey = keyValue[0];
                String encodedValue = keyValue.length > 1 ? keyValue[1] : "";
                // 手动解码参数值
                String decodedValue = URLDecoder.decode(encodedValue, StandardCharsets.UTF_8.name());
                
                System.out.printf("参数键：%s，解码后的值：%s%n", paramKey, decodedValue);
            }
        }
    }
}

运行这段代码会输出：

参数键：url，解码后的值：www.otherexample.com?b=2&c=3
参数键：d，解码后的值：4

内容的提问来源于stack exchange，提问作者Marcus Junius Brutus