本文介绍在 Go 语言中安全、规范地将变量（如整数）拼接到 URL 字符串中的常用方法，重点讲解 fmt.Sprintf 的使用方式，并提醒 URL 编码与安全性等关键注意事项。
本文介绍在 go 语言中安全、规范地将变量（如整数）拼接到 url 字符串中的常用方法，重点讲解 `fmt.sprintf` 的使用方式，并提醒 url 编码与安全性等关键注意事项。
在 Go 中向 URL 动态注入变量（例如查询参数中的整数 ID），最简洁且类型安全的方式是使用 fmt.Sprintf 进行格式化拼接。例如，若你有一个整型变量 stationID := 123，可将其嵌入 URL 如下：
stationID := 123
url := fmt.Sprintf("http://foo.foo2.foo3=%d", stationID)
getContent(url, &resp)
该方式清晰、易读，且能自动处理整数到字符串的转换。但需注意：fmt.Sprintf 仅做字符串拼接，不进行 URL 编码。若变量内容可能包含特殊字符（如空格、/、?、& 等），直接拼接会导致 URL 格式错误或服务端解析失败。
此时应改用标准库 net/url 构建安全 URL：
import "net/url"
stationID := 123
u, _ := url.Parse("http://foo.foo2.foo3")
q := u.Query()
q.Set("id", strconv.Itoa(stationID)) // 或直接 q.Set("id", fmt.Sprintf("%d", stationID))
u.RawQuery = q.Encode()
getContent(u.String(), &resp)
更推荐的做法是统一使用 url.Values 处理所有查询参数，兼顾可读性与安全性：
params := url.Values{}
params.Set("id", strconv.Itoa(stationID))
fullURL := "http://foo.foo2.foo3?" + params.Encode()
getContent(fullURL, &resp)
⚠️ 注意事项：
- 避免使用字符串拼接（如 url + "=" + string(stationID)），既不安全也不支持非字符串类型；
- 不要手动拼接查询参数中的 ? 和 & —— url.Values.Encode() 会自动处理；
- 若涉及敏感参数（如 token、用户输入），务必校验并过滤输入，防止 SSRF 或路径遍历风险；
- 实际项目中建议封装 buildURL(base string, params url.Values) 工具函数，提升复用性与一致性。
掌握 URL 参数的安全构造方式，是编写健壮 HTTP 客户端的基础一步。
