编码规则
URL编码遵循下列规则：每对name/value由&；符分开；每对来自表单的name/value由=符分开。如果用
户没有输入值给这个name，那么这个name还是出现，只是无值。任何特殊的字符（就是那些不是简单的七位ASCII，如汉字）将以百分符%用十六进制编码，当然也包括象=,&；，和%这些特殊的字符。其实url编码就是一个字符ascii码的十六进制。不过稍微有些变动，需要在前面加上“%”。比如“”，它的ascii码是92，92的十六进制是5c，所以“”的url编码就是%5c。那么汉字的url编码呢？很简单，看例子：“胡”的ascii码是-17670，十六进制是BAFA，url编码是“%BA%FA”。
防止sql注入
URL编码平时我们是用不到的，因为IE会自动将你输入到地址栏的非数字字母转换为url编码。或许你已经想起了，有人提出数据库名字里带上“#”以防止被下载，因为IE遇到#就会忽略后面的字母。破解方法很简单——用url编码%23替换掉#。现在SQL注射非常流行，所以就有人写了一些防注射的脚本。当然啦，思路不一样，效果大不同。下面××SQL通用防注入asp版部分代码。
Fy_Url=Request.ServerVariables("QUERY_STRING")
Fy_a=split(Fy_Url,"&")
REDIMFy_Cs(Ubound(Fy_a))
OnErrorResumeNext
forFy_x=0toubound(Fy_a)
Fy_Cs(Fy_x)=left(Fy_a(Fy_x),instr(Fy_a(Fy_x),"=")-1)
Next
ForFy_x=0toubound(Fy_Cs)
IfFy_Cs(Fy_x)<>""Then
IfInstr(lcase(Request(Fy_Cs(Fy_x))),"and")<>0then
Response.Write"出现错误！"
Response.End
EndIf
EndIf
Next
它的思路就是先获得提交的数据，以“&”为分界获得并处理name/value组，然后判断value里是否含有定义的关键字（这里为求简便，我只留下了“and”），有之，则为注射。
乍一看去，value被检查了，似乎没有问题。是的，value不会有问题，可是，name呢？
它的name/value组值来自于Request.ServerVariables("QUERY_STRING")，呵呵，不好意思，这里出问题了。Request.ServerVariables("QUERY_STRING")是得到客户端提交的字符串，这里并不会自动转换url编码，哈哈，如果我们把name进行url编码再提交的话，呵呵，那就可以绕过检查了。比如参数是ph4nt0m=lake2andlis0，此时程序能够检测到；如果提交%50h4nt0m=lake2andlis0（对p进行url编码），程序就会去判断%50h4nt0m的值，而%50h4nt0m会被转换为ph4nt0m，所以%50h4nt0m值为空，于是就绕过了检测。为什么既然name不解码可以绕过检查而value就不能绕过呢？因为value的值取自Request(Fy_Cs(Fy_x))，这个服务器就会解码的。程序怎么改进呢？只要能够得到客户端提交的数据是解码后的就可以了，把得到name的语句改为ForEachSubmitNameInRequest.QueryString就可以了。
使用举例
前言
编码问题是JAVA初学者在web开发过程中经常会遇到问题，其中之一是URL中使用中文等非ASCII的字符造成服务器后台程序解析出现乱码的问题。
常见出错部分
也就是容易出现中文字符的部分：
（1）QueryString中的参数值
（2）servletpath
常见出错原因
（1）浏览器：我们的客户端（浏览器）本身并没有遵循URI编码的规范。
（2）Servlet服务器：Servlet服务器的没有正确配置。
（3）开发人员并不了解Servlet的规范和API的含义。
servlet规范
（1）HttpServletRequest.setCharacterEncoding（）方法仅仅只适用于设置post提交的requestboda的编码而不是设置get方法提交的queryString的编码。该方法告诉应用服务器应该采用什么编码解析post传过来的内容。
（2）HttpServletRequest.getPathInfo（）返回的结果是由Servlet服务器解码（decode）过的。
（3）HttpServletRequest.getRequestURI（）返回的字符串没有被Servlet服务器decoded过。
（4）POST提交的数据是作为requestbody的一部分。
（5）网页的Http头中ContentType("text/html;charset=GBK")的作用：
(a)告诉浏览器网页中数据是什么编码；
(b)表单提交时，通常浏览器会根据ContentType指定的charset对表单中的数据编码，然后发送给服务器的。
注意：这里所说的ContentType是指http头的ContentType，而不是在网页中mete中的ContentType。
