MySQL里没有内置URL解码函数
先明确一个基本事实：MySQL原生并不提供类似URL_DECODE或UNESCAPE这样的标准函数。这意味着，如果你试图用UNHEX(HEX())或者简单的REPLACE拼凑来解决问题，往往只能应付极其简单的场景，稍微复杂一点就会捉襟见肘。至于CONVERT(... USING utf8mb4)，这条路也走不通——因为URL编码的本质是字符替换，而非字符集转换，两者根本不是一回事。
自定义函数是唯一可靠方案（但要注意权限和语法）
既然没有现成的，那就只能自己动手了。唯一的可靠方案就是使用CREATE FUNCTION手动实现一个。不过，这里有几个权限和语法上的坑需要提前避开。调用者必须拥有CREATE ROUTINE权限。在MySQL 8.0及以上版本，虽然支持更安全的SQL SECURITY DEFINER语法，但默认仍是DEFINER。如果定义者（definer）用户不存在，你会直接撞上ERROR 1449 (HY000): The user specified as a definer does not exist这个错误。
在具体实现时，有几个细节值得推敲：
- 函数命名：建议使用
url_decode这类名称，尽量避开未来MySQL可能引入的内置函数名，以防冲突。 - 参数类型：参数类型最好固定为
TEXT。原因很简单，URL编码里很可能包含多字节字符，比如中文的%E4%B8%AD，TEXT类型能更好地容纳它们。 - 确定性声明：务必显式声明函数为
DETERMINISTIC。这个声明至关重要，否则你的函数在某些上下文（例如创建函数索引或视图中引用）中将无法使用。 - 实现逻辑：别想着用
WHILE循环去逐个替换%xx——性能太差。由于MySQL存储函数不支持正则表达式的全局替换，所以“循环 +LOCATE/SUBSTRING”成了主流的实现写法。
下面是一个核心逻辑片段的示例，展示了如何一步步定位并替换编码字符：
DECLARE decoded TEXT DEFAULT input_str;
DECLARE pos INT DEFAULT 1;
WHILE pos > 0 DO
SET pos = LOCATE('%', decoded);
IF pos > 0 THEN
SET decoded = INSERT(decoded, pos, 3,
CHAR(CONV(SUBSTRING(decoded, pos+1, 2), 16, 10) USING utf8mb4));
END IF;
END WHILE;
%20 和 + 都得单独处理，否则空格解析错误
接下来是一个容易踩坑的地方：空格的处理。在标准URL编码中，空格有两种表示方式：%20或+（后者常见于application/x-www-form-urlencoded场景）。如果你写的自定义函数只解码%xx，就会漏掉所有的+，导致解码后的字符串末尾莫名其妙多出加号。
- 处理顺序是关键：务必在所有
%xx解码完成之后，再执行一次REPLACE(decoded, '+', ' ')来替换加号。 - 为什么顺序不能反？如果先替换
+，那么原本表示加号本身的编码%2B就会被错误地替换成空格。 - 缺一不可：尤其是在处理拼接的日志等数据时，两种空格表示法可能混用，因此这两步处理都必须到位。
生产环境慎用，尤其在 WHERE 或 ORDER BY 中调用
好了，函数写完了，测试也通过了，是不是就能高枕无忧了？恰恰相反，真正的挑战现在才开始。自定义函数有一个致命的弱点：它无法利用索引。这意味着，一旦你在WHERE或ORDER BY子句中调用它，比如WHERE url_decode(url_col) = 'xxx'，就会触发全表扫描，性能在大数据量下是灾难性的。
即使你使用的是MySQL 8.0.13+版本，支持函数索引，这条路也布满荆棘。函数索引仅支持确定性函数，并且需要显式创建。而我们的url_decode函数，如果遇到非法编码字符串，其行为可能被MySQL判定为不确定（Non-Deterministic），从而拒绝创建索引。
那么，生产环境中该怎么办？
- 首推预处理：最稳妥的方案是在数据入库前，就在应用层（用Python、Ja va、Go等）完成URL解码，并将解码后的结果存入一个单独的冗余字段。后续查询直接对这个冗余字段进行操作，完美利用索引。
- 谨慎调试：在调试阶段，可以用
SELECT url_decode('hello%20world')来验证函数逻辑。但一旦上线，应绝对避免在大表查询中直接SELECT函数计算结果。 - 实时解析的底线：如果业务场景确实要求实时解析，那么至少要对输入字符串进行一轮粗筛。例如，使用正则表达式
REGEXP '^([a-zA-Z0-9\-._~:/?#[\]@!$&'()*+,;=%]+)$'过滤掉明显畸形的字符串，防止它们传入函数内部导致异常退出。
说到底，编写这个函数本身或许并不算太复杂。真正的麻烦在于，你需要时刻记住它的诸多限制：不友好于索引、不主动校验输入、可能存在版本兼容性问题，并且每次数据库迁移时，都得手动重新安装一遍函数定义。这，才是自定义函数背后隐藏的长期成本。
