必须url编码，因@、:等是uri硬性分隔符，未编码会导致解析错乱、认证失败；官方强制要求，非可选建议。
密码里有 @、:、/、?、#、[、] 这些字符，连接字符串就不是合法 URI —— 驱动解析时直接截断或错位，认证自然失败。
为什么 URL 编码是必须的，而不是可选的？
MongoDB 官方规范明确要求：只要用户名或密码含 @、: 等保留字符，就必须做 encodeURIComponent()。这不是“建议”，而是解析器的硬性分隔规则：
-
mongodb://user:pass@word@localhost:27017/db中，驱动会把第一个@当作用户名/密码分隔符，第二个@当作密码/主机分隔符，导致密码被截成pass，后面word@localhost...全部错乱 - Node.js 的
mongodb驱动（包括 Mongoose）会在内部调用decodeURIComponent()，但前提是原始字符串本身是合法 URI；非法字符串先被解析器破坏，后续 decode 也救不回来 - 错误表现常不是 “密码错误”，而是连接卡住、
Authentication failed或FailedToParse: Password must be URL Encoded
用 { user, pass } 选项绕过编码可行吗？
可以，但只适用于部分驱动和场景，且有隐藏风险：
- Node.js 的
mongodb驱动支持传{ user: 'u', pass: 'p' }作为 connect 选项，此时驱动跳过 URI 解析阶段，直接构造凭证 —— 绕开了 URL 编码问题 - Mongoose v7+ 默认启用
autoEncrypt，若同时传了未编码的 URI +{ user, pass }，可能触发双重解析冲突，反而更难排查 - Java、Python、PHP 等其他语言驱动不一定支持该方式；Kettle、Compass 等工具完全不认这个参数，只能靠 URI 编码
- 不推荐长期依赖此法：它掩盖了 URI 规范意识，团队协作或换工具时容易出问题
哪些字符必须编码？怎么快速验证？
必须编码的字符只有这 7 个：:、/、?、#、[、]、@。其他如 %、+、空格也建议编码，但不是强制。
- 别手动替换，用
encodeURIComponent('my@p#ss')→my%40p%23ss - 拼接完整 URI 时，只编码密码（或用户名），不要对整个 URI 再套一次
encodeURIComponent() - 验证是否合法：把拼好的 URI 粘贴进浏览器地址栏，如果报 “无效网址” 或自动跳转，说明还有未编码字符
- 常见漏编位置：密码里带邮箱（
user@example.com）、带路径（pa/ss）、带查询片段（pwd?x=1）
真正容易被忽略的是：即使你确认密码没这些字符，也要检查创建用户时用的 db.createUser() 命令里，pwd 字段是否本身已含特殊字符 —— 很多人重置密码时用 shell 直接输 db.changeUserPassword("u", "a@b")，以为只是改个值，其实已经埋下隐患。
