URL 参数为什么被编码了两三层？嵌套编码逐层拆解指南

%253A 不是乱码 —— 它是「URL 套 URL」的结果。编码层是怎么叠起来的，又怎么一层层安全拆开。

看起来像乱码，其实不是

你打开一个跳转链接，中间出现一段 %253A%252F%252F，看着像乱码。其实不是：%25 是百分号自己的编码，所以 %253A 解码一轮得到 %3A，再解一轮才是冒号。这条 URL 被编码了两层——只要一个 URL 需要作为参数「坐」进另一个 URL 里，就会发生这种事。

• 登录服务要把你送回去：你的回调地址成了服务 URL 里的一个参数值。
• 整条服务 URL 又被当作参数，塞进第三条 URL。
• 每跳一次就多包一层，每包一层，所有百分号都翻倍。

三跳之后，一个冒号长成了 %25253A。没有任何东西出错，只是每一跳各有一层。

层是怎么叠起来的

每一层都是不同软件「各司其职」的结果：

• 你的应用拼出 https://app.example.com/callback?next=/settings?tab=security，先用 encodeURIComponent 编码一次再塞进参数，于是参数变成 next=%2Fsettings%3Ftab%3Dsecurity。
• SSO 服务继续跳转时，把整条服务 URL——参数和所有——当成普通文本再编码一遍，它自己 URL 里那些 %3A%2F%2F 就是这么来的。
• 再往后的任何一跳（网关、邮件跳转、统计跳转）都重复同样的动作。

链路上的每个角色只看得见自己那一层，所以层数告诉你这条 URL 经过了几跳，而不是有人犯了错。

三条实用规律

• 反复解码，直到解不动为止。 对 %253A 只解一次得到 %3A——还是编码状态。某一轮解码后结果不再变化才算解完，轮数就是层数。
• 盯住加号。 在查询参数里，+ 从最早的网页表单时代起就表示空格，而 %20 是现代、无歧义的写法。好的解码器会把查询串里的两者当成同一个字符——重组时再把空格写回 +，URL 才能一字不差地还原。
• 编码不唯一，但语义等价。 冒号可以原样出现，也可以写成 %3A，取决于编码的一方；对遵循标准的服务端来说两者是同一回事。比较 URL 时别指望逐字节相同，要指望语义相同。

常见的坑

• 想修复，反而造成双重编码。 值里已经有 %2F，你又「保险起见」过了一遍 encodeURIComponent，得到 %252F——服务端解出来的是字面文本 %2F 而不是斜杠。只对原始文本编码，别对已经部分编码的文本再编码。
• 对参数值使用 encodeURI。 encodeURI 会刻意保留 ?、&、= 和 #，因为它是给完整 URL 用的。参数值里的这些字符必须编码，否则外层 URL 的结构就被破坏了。对值请用 encodeURIComponent（组件编码）。
• 只解一层就动手改。 你在中间层把 tab=security 改成 tab=privacy，然后把整条 URL 复制走——只有这一层变了，外面几层包着的还是旧值。要改就改最内层的视图，再由内向外逐层重新编码——当初怎么包上去的，就怎么包回去。

在浏览器里拆一条

本站的 URL 编解码工具会在浏览器本地拆解整条链路：粘贴 URL，它列出每个参数、把嵌套 URL 展开成可编辑的表格、高亮标出每个字符属于哪一层解码，并在你编辑的同时自动逐层重新编码、重组外层 URL。页面上的快速编码器还能给文本套上一至五层编码，方便你自己构造这类链接。全程不离开浏览器，不上传任何内容。