Go 解析回调地址时怎么区分 RawQuery 和 Path

处理 OAuth 回调、支付通知或自定义 Webhook 时，最容易混淆的是 Path、RawPath 和 RawQuery。记住一个实用判断：路径看 Path，要保留路径原始编码看 EscapedPath()；查询字符串看 RawQuery，要按键值读取就用 Query()。不要把整条回调地址交给 QueryEscape，也不要用 strings.Split 代替 URL 解析。

RawQuery 和 Path 先按 URL 结构分开

下面这条地址同时放了编码路径和查询参数：https://callback.example/cb%2Ftenant?state=a%2Bb&next=%2Fhome%3Ftab%3D1。解析后，Path 关注“路径的语义内容”，而 RawQuery 关注问号后面尚未拆成键值的字符串。

关键点在于：Path 已经是解码后的形式，编码过的斜杠可能和真正的路径斜杠看起来一样；查询则应让 url.Values 处理百分号编码、重复键和加号规则。

用 Query 读取参数，不要手动切 RawQuery

回调参数经常包含空格、加号、嵌套 URL 或重复键。直接按 & 和 = 切字符串，会漏掉这些编码规则。最小示例可以把原文和解析后的值同时打印出来，方便排查签名不一致或参数为空。

package main

import (
	"fmt"
	"net/url"
)

func main() {
	raw := "https://callback.example/cb%2Ftenant?state=a%2Bb&next=%2Fhome%3Ftab%3D1&scope=read&scope=write"
	u, err := url.Parse(raw)
	if err != nil {
		// 解析失败时不要继续使用半成品 URL。
		panic(err)
	}

	q := u.Query()
	fmt.Println("Path:", u.Path)
	fmt.Println("EscapedPath:", u.EscapedPath())
	fmt.Println("RawQuery:", u.RawQuery)
	fmt.Println("state:", q.Get("state"))
	fmt.Println("next:", q.Get("next"))
	fmt.Println("scope all:", q["scope"])
}

这里 state=a%2Bb 的值是 a+b，因为加号本身被写成了 %2B；如果原文是 state=a+b，查询解码会把它当作空格。scope 使用切片读取，不能假设每个参数只有一个值。

Path 解码与原始编码要分两层处理

当租户标识或资源 ID 允许编码斜杠时，u.Path 适合表达解码后的内容，却不适合判断原始 URL 中到底写了一个斜杠还是 %2F。此时读取 u.EscapedPath()，并把它当作编码视图；该方法会在 RawPath 不再匹配 Path 时重新计算安全的转义结果。

生成 URL 时也要按位置选择方法：路径段用 url.PathEscape，查询值用 url.Values.Encode 或 url.QueryEscape。例如 PathEscape("a/b") 的目标是把斜杠视为数据，而查询编码还要遵循键值对和加号规则。

在回调 Handler 里按三个边界复查

落到 HTTP handler，建议把逻辑分成三处检查。第一处用路由框架或 r.URL.Path 判断固定路径；第二处用 r.URL.Query() 校验 state、签名和重复参数；第三处如果要跳转到 next，先限制允许的主机或路径，不能把任意查询值直接交给重定向响应。

func callback(w http.ResponseWriter, r *http.Request) {
	// 路由只看路径语义，不把查询串拼进路径判断。
	if r.URL.Path != "/cb/tenant" {
		http.NotFound(w, r)
		return
	}

	// 查询值由 net/url 负责解码，缺失参数单独处理。
	state := r.URL.Query().Get("state")
	if state == "" {
		http.Error(w, "missing state", http.StatusBadRequest)
		return
	}

	fmt.Fprintln(w, "callback accepted")
}

示例省略了业务侧的状态存储和签名校验，但边界不变：路径用于定位处理器，查询用于读取参数，原始查询只在签名协议明确要求时保留。若回调签名覆盖原始 URL，还要确认对方签名的是 RawQuery、EscapedPath() 还是完整字符串，不能自行重新编码后再比较。

常见问题

RawQuery 会包含开头的问号吗？

不会。RawQuery 只保存问号后的内容；需要判断原地址是否显式带了空查询问号时，再关注 ForceQuery。

为什么 Path 里看不到原来的 %2F？

因为 Path 是解码后的值。要恢复适合输出的编码路径，调用 EscapedPath()，不要把 RawPath 当作永远存在的原文。

查询参数可以直接用 strings.Split 解析吗？

不建议。嵌套 URL、重复键、百分号编码和加号都会让手工切分变得脆弱，优先使用 u.Query() 或 url.ParseQuery。

PathEscape 和 QueryEscape 应该怎么选？

前者服务于路径段，后者服务于查询值。整条 URL 不属于任何一个单独的转义对象，应先解析，再分别处理各组件。

官方字段说明和方法行为可在 Go net/url 包文档中继续核对。