Si il - non dà problemi. Http request è un HTTP a tutti gli effetti. Ti conviene prendere in considerazione anche gli altri due casi della & e del %, a meno che gli input anzichè dagli utenti non arrivino da te e siano quindi sotto il tuo completo controllo.

Ci sarà magari anche qualche altra soluzione che quella suggerita da me, ma tutte quelle che mi hanno suggerito finora, riportavano in un modo o l'altro alla riproposizione del problema. Magari sbaglio io.

Buon lavoro!