Go HTTP客户端URL编码异常：NUL字符导致请求路径被错误转义-Golang-PHP中文网

Go HTTP客户端URL编码异常：NUL字符导致请求路径被错误转义

使用http.NewRequest发起GET请求时，若URL字符串中隐含不可见的NUL（\x00）等控制字符，Go会自动对其执行Percent编码（如\x00→%00），导致路径被严重破坏、服务端无法识别，表现为乱码式URL和404/400错误。

使用`http.newrequest`发起get请求时，若url字符串中隐含不可见的nul（`\x00`）等控制字符，go会自动对其执行percent编码（如`\x00`→`%00`），导致路径被严重破坏、服务端无法识别，表现为乱码式url和404/400错误。

在Go中，http.NewRequest对传入的URL字符串不做预校验，而是直接交由内部的url.Parse()处理。而根据RFC 3986及Go标准库实现，url.Parse()会严格识别并转义所有非URL安全字符——包括ASCII控制字符（如\x00–\x1F）、空格、, <code>>, {, }, |, \, ^, ~, [, ], "等。一旦原始URL字符串（例如由用户输入、数据库读取或API拼接生成）意外混入NUL字节（常见于C风格字符串截断、二进制数据误解析、日志注入或不安全的字符串拼接），http.NewRequest就会将其编码为%00，进而使整个路径失效。

例如，你观察到的调试输出：

GET /user/%00l%\*\*\*\*\*0o%**\*00.%00c\*\*\*0-%00v%00i%00a%00r%00d%00@%00e%0**0i%00t%00e%00c%0\*\*\*0.%0\*\*\*00/?format=json

正是login参数中每个字符前都被插入了\x00的结果（如"le\*\*\*\*in-vi\*\*rd@e\*\*\*\*\*\*\*"实际存储为"\x00l\x00e\x00...\x00@"），这绝非URL编码本意，而是数据污染。

✅ 正确做法：在构造URL前彻底清理和验证login变量：

import (
    "net/url"
    "strings"
    "unicode"
)

// 安全拼接URL：过滤控制字符与非法Unicode
func sanitizeLogin(login string) string {
    var cleaned strings.Builder
    for _, r := range login {
        // 仅保留可打印ASCII字母、数字、常见分隔符（@.-_）
        if (r >= 'a' && r = 'A' && r = '0' && r <p>⚠️ 关键注意事项：</p>

永远不要直接拼接用户输入到URL路径中：即使看似“干净”的字符串，也可能携带BOM、零宽空格（U+200B）、NUL等隐形字符；
避免使用fmt.Sprintf拼接URL：它不处理编码，且无法防御恶意字符；
优先使用net/url.URL结构体构建URL：通过u.String()生成的URL已按RFC规范正确编码，仅转义/ ? # [ ]等保留字符，不会误伤合法字符；

调试时用url.Parse()验证：

if u, err := url.Parse(profile); err != nil {
    log.Fatalf("Invalid URL: %v", err)
} else if u.Scheme == "" || u.Host == "" {
    log.Fatalf("Malformed URL: %q", profile)
}