url.queryescape和queryunescape仅用于url查询参数的单个字段值编码解码，如“张三”→“%e5%bc%a0%e4%b8%89”；误用于完整url会导致: / ?等被错误转义。
Go 里 url.QueryEscape 和 url.QueryUnescape 怎么用
这两个函数只处理单个字段值，不是整个 URL。比如你想把 "name=张三&city=北京" 当成一个参数传给 API，就得先对 "张三" 和 "北京" 分别编码，而不是对整串调用 QueryEscape。
常见错误是拿它去编码完整 URL（比如 "https://api.com?q=hello world"），结果把 :、/、? 全都转义了，导致请求 400 或 404。
-
url.QueryEscape("张三")→"%E5%BC%A0%E4%B8%89"（正确） -
url.QueryEscape("https://a.com?q=1 2")→ 把://和?也编码了（错误） - 中文、空格、
&、=、+等必须编码；字母数字和-_.~默认不编码
想编码整个 URL 路径或 query 参数，该用 url.URL 结构体
手动拼接 QueryEscape 容易漏字段、错顺序、多加 &。Go 标准库提供了更安全的方式：构造 url.URL，再用 url.Values 填 query。
这样能自动处理键值对分隔、重复 key、空值跳过等细节，也避免手误把 ? 写成 &。
- 先声明
v := url.Values{}，然后v.Set("q", "hello world")、v.Add("tag", "go") - 再构建
u := &url.URL{Scheme: "https", Host: "api.com", Path: "/search", RawQuery: v.Encode()} -
u.String()就是合法的完整 URL："https://api.com/search?q=hello+world&tag=go" - 注意：
v.Encode()返回的是application/x-www-form-urlencoded格式，空格变+，不是%20（这是标准行为）
url.PathEscape 和 url.PathUnescape 是干啥的？和 QueryEscape 有啥区别
路径里的斜杠 /、点 .、冒号 : 在 query 里要编码，在 path 里可能是语义的一部分。所以 Go 拆开了两套逻辑：
-
url.QueryEscape：专用于 query string 的 value（如?q=xxx中的xxx），不编码+、.、_、~，但会把空格变成+ -
url.PathEscape：专用于 URL 路径段（如/user/张三中的张三），保留/和.不编码，但会把空格变成%20，且不会把+当空格处理 - 误用
QueryEscape编码路径会导致/被转成%2F，API 认不出路由；误用PathEscape编码 query 值会导致空格没变成+，后端解析出错
解码失败时 url.QueryUnescape 返回 error，怎么安全处理
用户输入、第三方接口返回的 URL 参数可能被篡改或不规范，直接调用 url.QueryUnescape 可能 panic 或静默出错（比如把 %zz 当无效序列返回空字符串）。
- 永远检查 error：
s, err := url.QueryUnescape(raw)，err != nil说明是非法百分号编码 - 不要假设前端传来的
q参数一定可解码，尤其带中文或特殊符号时 - 如果业务允许宽松处理，可以先用
strings.ReplaceAll(raw, "+", "%20")再解码（因为有些老客户端把空格发成+，但没设 Content-Type，导致 Go 不按 form 解析） -
url.PathUnescape同理，路径段里出现%2F会被还原成/，可能引发目录遍历——解码后记得校验路径是否在允许范围内
最常被忽略的是：query 和 path 的编码规则根本不同，混用就会在某些字符上表现一致、某些上出 bug，而且很难复现。上线前至少拿含中文、空格、/、& 的样例跑一遍编解码往返测试。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
