Base64 vs base64url: fark yaratan iki karakter

Özet. Base64 ve base64url, RFC 4648'de tanımlanan üç detay dışında aynı kodlamadır: + yerine -, / yerine _ ve dolgu = kaldırılmış. Kodlanmış değer bir URL, JWT veya imzalı çerezde geçiyorsa base64url kullanın; e-posta ekleri, HTTP Basic Auth ve data URI'leri için standart Base64 kullanın.

Her ikisi de RFC 4648'de tanımlanmıştır. StandartBase64 (§4) ve base64url(§5) tam olarak üç detayda farklılaşır: iki alfabe değişikliği ve dolgunun işlenmesi. Hepsi bu kadar. Ancak birbirinin yerine kullanmak JWT'leri, imzalı çerezleri ve URL üzerinden aktarılan her şeyi bozar.

Fark

Aynı giriş, iki kodlama

https://example.com/?q=hello world kodlanıyor:

• Standart: aHR0cHM6Ly9leGFtcGxlLmNvbS8/cT1oZWxsbyB3b3JsZA==
• Base64url: aHR0cHM6Ly9leGFtcGxlLmNvbS8_cT1oZWxsbyB3b3JsZA

Standart formdaki / base64url'de _'ye dönüşmüş, sondaki == ise kaldırılmıştır.

URL'lerin neden kendi varyantına ihtiyacı var?

Standart Base64 alfabesi + ve /içerir. Her ikisi de URL sözdiziminde ayrılmış karakterlerdir:

• / yol ayırıcısıdır.
• +, form kodlu sorgu dizelerinde geleneksel olarak boşluk anlamına gelir.
• = sorgu dizelerinde anahtar-değer ayırıcısıdır.

Standart Base64 dizesini URL'e gömmek üç karakterin de yüzde-kodlanmasını gerektirir: + → %2B,/ → %2F, = → %3D. Dize uzar ve okunaksız hale gelir. Base64url, zaten URL güvenli karakterleri seçerek yüzde-kodlamayı önler.

Base64url'de dolgu neden isteğe bağlı?

Standart Base64, çıktıyı her zaman = kullanarak 4'ün katına tamamlar. Bu matematiksel olarak zorunlu değildir — çözücü, çıktı uzunluğunun 4'e göre kalanından orijinal uzunluğu çıkarabilir. Dolgu, ardışık parçalar arasındaki sınırı bilmesi gereken akış çözücüleri için vardır.

Base64url dolguyu atlar çünkü: (a) gereksizdir, (b)= URL'lerde yüzde-kodlama gerektirir ve (c) URL'lerdeki sondaki eşittir işaretleri bazen yol ayrıştırıcılarını, CDN'leri ve önbellek anahtarlarını karıştırır.

Her biri nerede kullanılır?

Çözme tuzağı

Pek çok kütüphanenin varsayılan Base64 çözücüsü base64url girişinde başarısız olur. Python’un base64.b64decode'u- ve _'yi reddeder; Node.js’unBuffer.from(s, "base64")'ü toleranslıdır ama tersi (.toString("base64")) standart Base64 çıktı verir.

Diller arası geçici çözüm: çözmeden önce değiştirin.

// base64url → standart Base64
const standard = base64url
  .replace(/-/g, "+")
  .replace(/_/g, "/")
  .padEnd(Math.ceil(base64url.length / 4) * 4, "=");

Daha iyisi: base64url'yi açıkça destekleyen bir kütüphane kullanın (Node 16+ Buffer.from(s, "base64url"); Python base64.urlsafe_b64decode).

Pratik kural

Kodlanmış değer URL'de, JWT'de, imzalı çerezde veya yol segmenti olarak yer alacaksa base64url kullanın. E-posta eki, HTTP başlığı (çerezler dışında) veya JSON data URI'si için standart Base64 kullanın.

Base64 kodlayıcımız her iki varyantı da alfabe geçişli olarak destekler. JWT çözücümüz standart zorunlu kıldığı için base64url varsayar.

Sayısal gerçekler

• Kodlanmış uzunluk: her iki varyant da ikili veriyi tam 4/3 oranında genişletir (ceil(n/3)*4). 100 giriş baytı → standart Base64'te 136, base64url'de dolgu olmadan 134 karakter.
• Dolgu ek yükü: standart Base64 kodlanmış dize başına 0, 1 veya 2 = ekler — kısa yükler için en fazla %1,5 boyut cezası, uzunlar için ihmal edilebilir.
• URL'lerde yüzde-kodlama maliyeti: standart Base64'teki her + / =, URL kodlamasında 3 bayta (%2B %2F %3D) genişler. 512 karakterlik bir JWT için tipik olarak 30-60 israf bayt — base64url tamamen önler.
• Alfabe boyutu: her ikisinde de 64 karakter, dolayısıyla her çıktı karakteri tam 6 bit giriş taşır.
• JWT segment boyutları (RFC 7519): tipik başlık 40-50 karakter, yük 100-400 karakter, HS256 imzası 43 karakter (tam 32 bayt / 6 = 43 base64url karakteri, dolgu olmadan).
• Verim: Node 20 Buffer.from(s, "base64") ~2 GB/s çözer; Python base64.b64decode 2024 dizüstü bilgisayarda ~600 MB/s.

Karar matrisi

Kaynaklar

• RFC 4648 — The Base16, Base32, and Base64 Data Encodings — rfc-editor.org/rfc/rfc4648 (§4 standart, §5 URL güvenli).
• RFC 7519 — JSON Web Token (JWT), base64url dolgu olmadan kullanımı zorunlu kılar — rfc-editor.org/rfc/rfc7519.
• RFC 7636 — OAuth 2.0 PKCE, §4.1 SHA-256 base64url kodlu zorluğu belirtir — rfc-editor.org/rfc/rfc7636.