PHP URL 傳遞中文與特殊字元完整解決方案：urlencode、base64、自訂編碼策略

問題背景

URL 標準僅允許 ASCII 字元。中文、空格、&、=、+、%、# 等特殊字元直接放入 URL 會導致解析錯誤、參數截斷、資安風險（XSS、SQL Injection）。不同瀏覽器對空格編碼為 + 或 %20 行為不一，伺服端接收更不穩定。

方案一：標準 urlencode / urldecode（最通用）

<?php
$text = '中文 & 特殊字元';
$url  = 'target.php?data=' . urlencode($text);
// 輸出：target.php?data=%E4%B8%AD%E6%96%87+%26+%E7%89%B9%E6%AE%8A%E5%AD%97%E5%85%83

// 接收端
$data = urldecode($_GET['data'] ?? '');
?>

• 優點：標準 RFC 3986，所有語言支援，瀏覽器自動處理。
• 缺點：長度膨脹（中文 3 位元組 → 9 字元），URL 變長。

方案二：base64 編碼 + 字元替換（縮短長度、避開特殊字元）

base64 產生的 +、/、= 在 URL 中有特殊含義，需替換為安全字元。

<?php
function urlSafeBase64Encode($str)
{
    $encoded = base64_encode($str);
    // 替換 URL 不安全字元
    return strtr($encoded, '+/=', '-_,');
}

function urlSafeBase64Decode($str)
{
    // 還原
    $decoded = strtr($str, '-_,', '+/=');
    return base64_decode($decoded);
}

// 使用
$original = 'user_id=1001&role=admin&permissions=read,write,delete';
$encoded  = urlSafeBase64Encode($original);
$url      = "api.php?token=$encoded";
// 解碼
$decoded = urlSafeBase64Decode($_GET['token'] ?? '');
?>

• strtr 效能優於 str_replace，單次替換多字元。
• 替換對照表：+ → -、/ → _、= → ,（或任意不衝突字元）。

方案三：JSON + base64（結構化資料傳遞）

<?php
$data = ['uid' => 1001, 'roles' => ['admin', 'editor'], 'exp' => time()+3600];
$token = urlSafeBase64Encode(json_encode($data, JSON_UNESCAPED_UNICODE));
// 傳遞 $token
$received = json_decode(urlSafeBase64Decode($_GET['token']), true);
?>

方案四：JWT（JSON Web Token）簽名驗證（防竄改）

若傳遞資料需防偽造，請使用 firebase/php-jwt 簽署 Token，而非單純編碼。

常見陷阱與避坑指南

編碼函式對照表