Base64 ایمن برای URL

رمزگذاری Base64url چیست؟

Base64url نوعی از رمزگذاری Base64 است که به‌طور خاص برای استفاده در URL‌ها، نام فایل‌ها، و سایر زمینه‌هایی طراحی شده که کاراکترهای استاندارد Base64 یعنی + و / مشکل‌ساز می‌شوند. Base64url که در RFC 4648 بخش ۵ تعریف شده، + را با - (خط تیره) و / را با _ (زیرخط) جایگزین می‌کند، و کاراکترهای padding یعنی = انتهایی را حذف می‌کند. نتیجه رشته‌ای است که می‌توان آن را مستقیماً در پارامتر query یک URL، نام فایل، یا سربرگ HTTP بدون نیاز به رمزگذاری درصدی اضافه جاسازی کرد.

Base64 استاندارد (RFC 4648 بخش ۴) از ۶۴ کاراکتر استفاده می‌کند: A-Z، a-z، 0-9، + و /. کاراکترهای + و / در URL‌ها رزروشده هستند: + در query string‌ها به‌عنوان فاصله تفسیر می‌شود (application/x-www-form-urlencoded)، و / یک جداکننده مسیر است. بنابراین استفاده از Base64 استاندارد درون یک URL نیازمند رمزگذاری درصدی این کاراکترها (%2B، %2F) است که طول رشته را افزایش می‌دهد و خوانایی آن را کاهش می‌دهد. Base64url این مشکل را با استفاده از کاراکترهای ایمن برای URL از همان ابتدا به‌طور کامل حل می‌کند.

برجسته‌ترین کاربرد Base64url در JSON Web Tokens یا JWT است. هر سه بخش یک JWT — سربرگ، payload، و امضا — با Base64url رمزگذاری شده‌اند. کدهای PKCE در OAuth 2.0، مقادیر challenge در WebAuthn، و بسیاری از طرح‌های توکن API نیز بر Base64url تکیه دارند. درک این رمزگذاری برای هر توسعه‌دهنده‌ای که با احراز هویت، مجوزدهی، یا تبادل داده رمزنگاری‌شده کار می‌کند ضروری است.

چرا از این ابزار Base64url استفاده کنیم؟

مستقیماً در مرورگر بین Base64url و متن یا داده باینری تبدیل کنید. هم رمزگذاری و هم رمزگشایی پشتیبانی می‌شوند، با مدیریت خودکار padding و جایگزینی کاراکترها. چه در حال دیباگ کردن یک توکن JWT باشید، کد PKCE challenge تولید کنید، یا شناسه‌های ایمن برای URL برای لینک‌های بازنشانی رمز عبور بسازید، این ابزار همه چیز را به‌صورت محلی در مرورگر شما با تأخیر صفر و بدون هیچ درخواستی به سرور پردازش می‌کند.

موارد استفاده Base64url

Base64 استاندارد در برابر Base64url

Base64url دقیقاً در سه چیز با Base64 استاندارد تفاوت دارد. الگوریتم رمزگذاری یکسان است — تنها الفبا و رفتار padding تغییر می‌کنند:

این سه تفاوت به این معناست که تبدیل بین Base64 استاندارد و Base64url ساده است: + را با - و / را با _ جایگزین کنید، و کاراکترهای = انتهایی را حذف کنید. برعکس، - را با +، _ را با / جایگزین کنید، و padding را اضافه کنید تا طول مضربی از ۴ شود. اکثر زبان‌ها پشتیبانی بومی از Base64url دارند و تبدیل دستی را غیرضروری می‌کنند.

جدول مقایسه رمزگذاری

جدول زیر ورودی‌های یکسان را رمزگذاری‌شده با Base64 استاندارد و Base64url نشان می‌دهد. توجه کنید که کاراکترهای padding (=) حذف شده و + / / با - / _ در نوع ایمن برای URL جایگزین شده‌اند:

نمونه کد

نحوه رمزگذاری و رمزگشایی رشته‌های Base64url در زبان‌های محبوب. هر مثال خروجی‌ای تولید می‌کند که برای استفاده در URL‌ها، نام فایل‌ها، و سربرگ‌های HTTP ایمن است:

// Encode to Base64url
function toBase64url(str) {
  return btoa(unescape(encodeURIComponent(str)))
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}
toBase64url('Hello!') // → "SGVsbG8h"

// Decode from Base64url
function fromBase64url(b64url) {
  const b64 = b64url.replace(/-/g, '+').replace(/_/g, '/')
  const pad = (4 - b64.length % 4) % 4
  return decodeURIComponent(escape(atob(b64 + '='.repeat(pad))))
}
fromBase64url('SGVsbG8h') // → "Hello!"

// Native base64url support since Node 15.7
const encoded = Buffer.from('Hello!').toString('base64url')
// → "SGVsbG8h"

const decoded = Buffer.from('SGVsbG8h', 'base64url').toString()
// → "Hello!"

// Decode a JWT payload
const jwt = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0...'
const payload = JSON.parse(Buffer.from(jwt.split('.')[1], 'base64url').toString())
// → { sub: "1234567890" }

import base64

# Encode to Base64url (no padding)
encoded = base64.urlsafe_b64encode(b'Hello!').rstrip(b'=').decode()
# → "SGVsbG8h"

# Decode from Base64url (re-add padding)
def b64url_decode(s: str) -> bytes:
    s += '=' * (4 - len(s) % 4)  # restore padding
    return base64.urlsafe_b64decode(s)

b64url_decode('SGVsbG8h')  # → b'Hello!'

package main

import (
    "encoding/base64"
    "fmt"
)

func main() {
    // Encode to Base64url (no padding)
    encoded := base64.RawURLEncoding.EncodeToString([]byte("Hello!"))
    fmt.Println(encoded) // → "SGVsbG8h"

    // Decode from Base64url
    decoded, _ := base64.RawURLEncoding.DecodeString("SGVsbG8h")
    fmt.Println(string(decoded)) // → "Hello!"
}

سوالات متداول