ThinkPHP urldecode字符转换报错修复教程-php教程-PHP中文网

不能对$_get或input()返回值再调用urldecode()，因php已自动解码，二次解码会导致乱码或空字符串；仅对原始未解码的query_string等场景才可安全使用。

thinkphp urldecode字符转换报错修复教程

ThinkPHP 中直接对 $_GET 值用 `urldecode()` 会出错

不要在 ThinkPHP 里对 $_GET 或 input() 返回值再调用 urldecode()。PHP 已在接收请求时自动解码 URL 编码，$_GET 里的值已经是解码后的字符串。再次 urldecode() 会导致二次解码，比如把 %E4%B8%AD%E6%96%87（“中文”）先变成“中文”，再误解为 %E4%B8%AD 部分被当作新编码处理，结果出现字符或空字符串。

常见错误现象：

input('name') 返回 “张三” 或乱码字节
手动 urldecode(input('name')) 后变成空或更乱
日志里看到 %u5F20 这类非标准编码（IE 旧版行为）

`urldecode()` 只适用于原始未解码的 URL 字符串

如果你拿到的是原始 URL 查询片段（比如从日志、重写规则、自定义 header 或 $_SERVER['REQUEST_URI'] 中截取的），且确认它未经 PHP 自动解码，才可安全使用 urldecode()。

典型使用场景：

从 $_SERVER['QUERY_STRING'] 中提取某段参数并手动解析
处理 Nginx/Apache 重写后透传的 raw query（未进 PHP 超全局）
解析第三方回调 URL 中的 query 部分（如微信支付 notify 的原始 body）

示例：

$raw = $_SERVER['QUERY_STRING'] ?? '';
// 只有当 $raw 里还含 %xx 形式时才适用
if (preg_match('/name=([^&]+)/', $raw, $m)) {
    $name = urldecode($m[1]);
}

ThinkPHP 6 接收 GBK 表单时乱码，不是 `urldecode()` 的问题

TP6 默认只按 UTF-8 解析 php://input 和 QUERY_STRING，遇到 GBK 提交的表单（如老旧 IE、嵌入式设备），input() 返回值已损坏，此时加 urldecode() 完全无效——原始字节早被 mb_convert_encoding($rawInput, 'UTF-8', 'UTF-8') 错误覆盖了。

PHP

编写健壮的PHP代码，规避类型转换陷阱、数组怪癖及常见安全漏洞。

下载

必须在框架读取输入流前拦截：

在 app\common\boot\AppService.php 的 boot() 方法中操作
优先检查 $_SERVER['HTTP_X_INPUT_CHARSET']（比 HTTP_ACCEPT_CHARSET 更可靠）
对 php://input 和 QUERY_STRING 分别用 mb_convert_encoding($str, 'UTF-8', 'GBK') 转码
转码后 parse_str() 再合并到 $_GET/$_POST，不能改 $_REQUEST（TP6 不依赖它）