Base64 URL-safe

Что такое кодирование Base64url?

Base64url — это вариант кодирования Base64, разработанный специально для использования в URL, именах файлов и других контекстах, где стандартные символы Base64 + и / создают проблемы. Определённый в RFC 4648, раздел 5, Base64url заменяет + на - (дефис) и / на _ (подчёркивание), а также убирает символы набивки = в конце строки. В результате получается строка, которую можно встраивать прямо в параметр запроса URL, имя файла или HTTP-заголовок без дополнительного процентного кодирования.

Стандартный Base64 (RFC 4648, раздел 4) использует 64 символа: A-Z, a-z, 0-9, + и /. Символы + и / зарезервированы в URL: + интерпретируется как пробел в строках запроса (application/x-www-form-urlencoded), а / является разделителем пути. Поэтому использование стандартного Base64 внутри URL требует процентного кодирования этих символов (%2B, %2F), что увеличивает длину строки и затрудняет её чтение. Base64url полностью устраняет эту проблему, используя URL-безопасные символы с самого начала.

Наиболее известное применение Base64url — JSON Web Tokens (JWT). Все три сегмента JWT — заголовок, полезная нагрузка и подпись — кодируются в Base64url. OAuth 2.0 PKCE code verifier, значения challenge в WebAuthn и многие схемы API-токенов также опираются на Base64url. Понимание этого кодирования необходимо любому разработчику, работающему с аутентификацией, авторизацией или криптографическим обменом данными.

Зачем использовать этот инструмент Base64url?

Конвертируйте текст или бинарные данные в Base64url и обратно прямо в браузере. Поддерживается как кодирование, так и декодирование с автоматической обработкой набивки и замены символов. Отлаживаете ли вы JWT-токен, генерируете PKCE code challenge или создаёте URL-безопасные идентификаторы — этот инструмент обрабатывает всё локально в вашем браузере без какой-либо задержки и без обращений к серверу.

Сценарии использования Base64url

Стандартный Base64 и Base64url: отличия

Base64url отличается от стандартного Base64 ровно тремя аспектами. Алгоритм кодирования идентичен — изменяются только алфавит и поведение набивки:

Эти три отличия означают, что преобразование между стандартным Base64 и Base64url тривиально: замените + на -, / на _ и удалите символы = в конце. В обратном направлении замените - на +, _ на / и добавьте набивку, чтобы длина была кратна 4. Большинство языков предоставляют встроенную поддержку Base64url, делая ручное преобразование излишним. Оба преобразования полностью обратимы и не приводят к потере данных — исходная последовательность байт сохраняется в точности. Эта совместимость гарантирована спецификацией RFC 4648.

Таблица сравнения кодирований

В таблице ниже одни и те же входные данные закодированы стандартным Base64 и Base64url. Обратите внимание, что символы набивки (=) убраны, а + и / заменены на - и _ в URL-safe варианте:

Примеры кода

Как кодировать и декодировать строки Base64url на популярных языках. Каждый пример создаёт вывод, безопасный для использования в URL, именах файлов и HTTP-заголовках:

// Encode to Base64url
function toBase64url(str) {
  return btoa(unescape(encodeURIComponent(str)))
    .replace(/\+/g, '-')
    .replace(/\//g, '_')
    .replace(/=+$/, '')
}
toBase64url('Hello!') // → "SGVsbG8h"

// Decode from Base64url
function fromBase64url(b64url) {
  const b64 = b64url.replace(/-/g, '+').replace(/_/g, '/')
  const pad = (4 - b64.length % 4) % 4
  return decodeURIComponent(escape(atob(b64 + '='.repeat(pad))))
}
fromBase64url('SGVsbG8h') // → "Hello!"

// Native base64url support since Node 15.7
const encoded = Buffer.from('Hello!').toString('base64url')
// → "SGVsbG8h"

const decoded = Buffer.from('SGVsbG8h', 'base64url').toString()
// → "Hello!"

// Decode a JWT payload
const jwt = 'eyJhbGciOiJIUzI1NiJ9.eyJzdWIiOiIxMjM0NTY3ODkwIn0...'
const payload = JSON.parse(Buffer.from(jwt.split('.')[1], 'base64url').toString())
// → { sub: "1234567890" }

import base64

# Encode to Base64url (no padding)
encoded = base64.urlsafe_b64encode(b'Hello!').rstrip(b'=').decode()
# → "SGVsbG8h"

# Decode from Base64url (re-add padding)
def b64url_decode(s: str) -> bytes:
    s += '=' * (4 - len(s) % 4)  # restore padding
    return base64.urlsafe_b64decode(s)

b64url_decode('SGVsbG8h')  # → b'Hello!'

package main

import (
    "encoding/base64"
    "fmt"
)

func main() {
    // Encode to Base64url (no padding)
    encoded := base64.RawURLEncoding.EncodeToString([]byte("Hello!"))
    fmt.Println(encoded) // → "SGVsbG8h"

    // Decode from Base64url
    decoded, _ := base64.RawURLEncoding.DecodeString("SGVsbG8h")
    fmt.Println(string(decoded)) // → "Hello!"
}

Часто задаваемые вопросы