在ASP.NET Web Forms里取URL参数，最直接的办法就是Request.QueryString["key"]。这行代码几乎每个搞过老ASP.NET的人都写过，但它背后藏着几个坑，新手常踩，老手也未必全注意到。

先说最基础的。假设地址是http://example.com/product.aspx?id=42&ref=home，你在product.aspx的Page_Load里写string id = Request.QueryString["id"];，就能拿到"42"。就这么简单，但问题来了——如果URL里根本没有id这个参数，这行代码返回的是null，而不是空字符串。你要是直接拿它去拼SQL或者转int，分分钟给你抛个NullReferenceException或者FormatException。

我见过不少同事这么写：int id = int.Parse(Request.QueryString["id"]);。页面一打开就白屏，因为用户可能从某个老链接点进来，参数名不匹配，或者压根没带参数。正确做法是先判断null，再尝试解析。用int.TryParse更稳，解析失败就给个默认值或者跳转到错误页。

还有个容易忽略的点——URL编码。假设参数值是中文或者带特殊符号，比如?name=张三&city=北京，浏览器会自动编码，但你在服务端拿到的已经是解码后的字符串了，Request.QueryString帮你处理好了。可你要是手动拼接URL做跳转，记得用Server.UrlEncode，不然带着中文跳转，某些老浏览器直接乱码。

多值参数也挺有意思。同一个key出现多次，比如?tag=asp&tag=net，Request.QueryString["tag"]拿到的只是第一个值"asp"。想拿全部就得用Request.QueryString.GetValues("tag")，返回一个字符串数组。这个场景在筛选列表、多选标签时特别常见，我早期就吃过亏，只取到第一个值，结果筛选条件永远不完整。

再往深了说，QueryString不是唯一取参数的地方。POST过来的表单数据在Request.Form里，但如果你用Request["key"]这种写法，它会先查QueryString再查Form，两个地方都能取到。方便是方便，但有时候会掩盖问题——比如你明明想取POST的数据，结果URL里恰好有个同名参数，取到的值就变了，调试半天才发现是这茬。

有个细节，很多人不知道Request.QueryString是NameValueCollection类型，它内部对key的处理不区分大小写。所以?Id=5和?id=5都能用["id"]取到。但你要是用GetValues方法，key的匹配同样不区分大小写。这个特性在团队协作时容易引发争议，有人习惯大写开头，有人全小写，好在框架帮你兜底了。

最后提个安全相关的事。别把URL参数直接拼进SQL或者HTML输出。参数值可能被恶意构造，比如?id=1;DROP TABLE Users，虽然现在参数化查询是标配，但总有历史代码在裸奔。输出到页面时也得HTML编码，防止XSS脚本注入。你拿到的参数就当它是不可信的外部输入，过一遍验证逻辑再使用。

取URL参数本身不难，难的是想清楚各种边界情况——参数缺失、格式错误、重复出现、编码问题、安全隐患。把这些都处理好了，你的页面才够健壮。下次再写Request.QueryString，多问自己一句：如果这个参数没来，或者来了个怪东西，我的代码会怎么反应？