在 PHP 开发中，URL 编码字符串的解析是处理请求参数、接口数据的常见操作，错误解析可能导致参数缺失、特殊字符乱码甚至引发安全漏洞，掌握安全解析的方法非常重要。
常见的 URL 编码字符串来源
URL 编码字符串通常出现在这些场景中：
- 前端表单通过 GET 方式提交后，URL 中携带的参数部分，比如
name=张三&age=20&hobby=篮球 - 接口调用时传递的查询字符串参数，经过 URL 编码后避免特殊字符冲突
- 存储的序列化参数数据，采用 URL 编码格式保存的场景
基础解析方法：parse_str 函数
PHP 内置的 parse_str 函数是解析 URL 编码字符串的核心工具，它会自动处理 URL 编码的解码工作，不需要手动调用 urldecode。
基础使用示例
下面是使用 parse_str 将简单 URL 编码字符串解析为关联数组的代码：
<?php // 待解析的 URL 编码字符串 $urlStr = "name=%E5%BC%A0%E4%B8%89&age=20&hobby=%E7%AF%AE%E7%90%83"; $result = []; // 解析字符串到关联数组 parse_str($urlStr, $result); // 输出解析结果 print_r($result); ?>
执行上述代码后，输出的数组内容为：
Array
(
[name] => 张三
[age] => 20
[hobby] => 篮球
)
注意事项
使用 parse_str 时需要注意，如果不传递第二个参数，函数会直接将解析结果注册为全局变量，这在安全规范中是不推荐的，容易导致变量覆盖问题，因此务必传递第二个数组参数接收结果。
处理复杂结构的 URL 编码字符串
如果 URL 编码字符串中包含数组格式的参数，比如 user[name]=张三&user[age]=20，parse_str 也能自动解析为多维关联数组。
<?php $complexStr = "user[name]=%E5%BC%A0%E4%B8%89&user[age]=20&hobby[]=%E7%AF%AE%E7%90%83&hobby[]=%E8%B6%B3%E7%90%83"; $result = []; parse_str($complexStr, $result); print_r($result); ?>
上述代码的解析结果为：
Array
(
[user] => Array
(
[name] => 张三
[age] => 20
)
[hobby] => Array
(
[0] => 篮球
[1] => 足球
)
)
安全解析的额外处理
虽然 parse_str 会自动解码 URL 编码，但在实际使用中还需要做一些安全处理，避免恶意参数带来的风险。
过滤非法参数键名
URL 编码字符串中可能包含不符合变量命名规范的键名，比如包含空格、特殊字符的键，解析后可能导致后续使用异常，需要对键名做过滤。
<?php
function safeParseUrlStr($urlStr) {
$result = [];
parse_str($urlStr, $result);
$filtered = [];
foreach ($result as $key => $value) {
// 过滤键名，只允许字母、数字、下划线、中括号（用于数组结构）
if (preg_match('/^[a-zA-Z0-9_[]]+$/', $key)) {
$filtered[$key] = $value;
}
}
return $filtered;
}
$testStr = "user-name=张三&age=20&hobby=篮球";
$parsed = safeParseUrlStr($testStr);
print_r($parsed);
?>
上述代码中，user-name 因为包含横杠不符合键名规则，会被过滤掉，最终解析结果只保留合法的 age 和 hobby 参数。
避免参数覆盖系统变量
如果解析后的数组需要合并到现有变量中，不要直接覆盖，应该做键名白名单校验，只允许预期内的参数被保留。
<?php // 允许的参数白名单 $allowKeys = ['name', 'age', 'hobby']; $urlStr = "name=张三&age=20&hobby=篮球&admin=1"; $parsed = []; parse_str($urlStr, $parsed); // 只保留白名单内的参数 $finalResult = array_intersect_key($parsed, array_flip($allowKeys)); print_r($finalResult); ?>
这样即使 URL 编码字符串中包含 admin=1 这类恶意参数，也不会被保留到最终结果中。
常见错误避坑
很多开发者会先调用 urldecode 再使用 parse_str，这是多余的操作，因为 parse_str 本身就会自动解码，重复解码可能导致特殊字符解析错误。
注意：不要对已经解码的字符串再次调用 urldecode，否则会把原本正确的字符再次编码，导致内容异常。另外，如果 URL 编码字符串中包含 & 或者 = 作为普通字符，需要先对这些字符做转义处理，避免被误认为是参数分隔符，比如参数值中包含 & 时，需要编码为 %26 再传递。
方法对比
不同解析方式的特点如下：
| 方法 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| 直接 parse_str | 内置函数，效率高，自动处理编码 | 无过滤，直接解析可能有安全风险 | 内部可信数据源的解析 |
| parse_str + 白名单过滤 | 安全性高，只保留预期参数 | 需要额外写过滤逻辑 | 处理外部请求参数的场景 |
| 手动分割解析 | 可完全控制解析逻辑 | 代码量大，容易遗漏编码处理 | 特殊格式字符串的定制解析 |
在实际开发中，优先使用 parse_str 配合安全过滤的方式，既能保证解析效率，也能满足安全需求，避免常见的解码错误和参数注入问题。