通过 GET 参数传递原始 Base64 编码字符串是否安全?
还有其他 base64 规范。 (具体请参见表此处)。但本质上你需要 65 个字符来编码:26 个小写 + 26 个大写 + 10 个数字 = 62。
您还需要两个 ['+', '/'] 和一个填充字符 '='。但它们都不是 url 友好的,所以 只需为它们使用不同的字符 就可以了。上图中标准的字符是['-', '_'],但是你可以使用其他字符,只要你解码它们相同,并且不需要与其他人共享。
我建议只编写自己的助手。就像这些来自 php 手册页上的 base64_encode 的评论:
function base64_url_encode($input) {
return strtr(base64_encode($input), '+/=', '-_.');
}
function base64_url_decode($input) {
return base64_decode(strtr($input, '-_.', '+/='));
}
下面是有效的 base64 字符。
ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789+/=
$str = 'Some String';
$encoded = urlencode( base64_encode( $str ) );
$decoded = base64_decode( urldecode( $encoded ) );
介绍性说明我倾向于发布一些说明,因为这里的一些答案有点误导(如果不是不正确的话)。
答案是否定的,您不能简单地在 URL 查询字符串中传递 base64 编码的参数,因为加号会转换为 $_GET 全局数组内的空格。换句话说,如果您将 test.php?myVar=stringwith+sign 发送到
//test.php
print $_GET['myVar'];
结果将是:
stringwith sign
urlencode()
您的base64字符串,然后将其添加到查询字符串中,以将+、=和/字符转义为%##代码。 例如,
urlencode("stringwith+sign")
返回
stringwith%2Bsign
当您处理操作时,PHP 在填充 $_GET 全局时会自动解码查询字符串。
例如,如果我将 test.php?myVar=stringwith%2Bsign 发送至
//test.php
print $_GET['myVar'];
结果是:
stringwith+sign
不想想要urldecode()
返回的$_GET字符串,因为+将被转换为空格。换句话说,如果我发送相同的
//test.php
$string = urldecode($_GET['myVar']);
print $string;
结果出乎意料:
stringwith sign
在某些情况下,base64 的基本字符集可能会与 URL 中使用的传统约定发生冲突。但许多 Base64 实现允许您更改字符集以更好地匹配 URL,甚至附带一个字符集(如 Python 的 )。 您可能面临的另一个问题是 URL 长度的限制,或者更确切地说 - 缺乏这样的限制。由于标准没有指定任何最大长度,因此使用 HTTP 协议的浏览器、服务器、库和其他软件可能会定义自己的限制。
function base64url_encode($data) {
return rtrim(strtr(base64_encode($data), '+/', '-_'), '=');
}
function base64url_decode($data) {
return base64_decode(str_pad(strtr($data, '-_', '+/'), strlen($data) % 4, '=', STR_PAD_RIGHT));
}
sodium_bin2base64
功能,它允许您选择 url 安全变体。例如编码可以这样完成:
$string = sodium_bin2base64($binData, SODIUM_BASE64_VARIANT_URLSAFE);
和解码:
$result = sodium_base642bin($base64String, SODIUM_BASE64_VARIANT_URLSAFE);
有关使用的更多信息,请查看 php 文档:
https://www.php.net/manual/en/function.sodium-bin2base64.php https://www.php.net/manual/en/function.sodium-base642bin.php
base64.urlsafe_b64encode(...)
,下面的代码对我来说 100% 有效
function base64UrlSafeEncode(string $input)
{
return str_replace(['+', '/'], ['-', '_'], base64_encode($input));
}
在实践中,事情可能会变得有点棘手。例如,如果值恰好包含“on”并且您保留了尾随的“==”,则它可能会在 ASP.NET 上触发 HttpRequestValidationException。
Encode
类的
Decode
和
Base64UrlEncoder
方法,该方法位于包
Microsoft.IdentityModel.Tokens v6.31.0
中。