Go base64.RawURLEncoding 怎样处理无填充令牌

Go 里要把一段字节放进 URL 路径、查询参数或短令牌，通常选 base64.RawURLEncoding。它使用 URL 安全字母表，把 +、/ 换成 -、_，并省略末尾的 = 填充。编码端用 EncodeToString，解码端用同一个编码器调用 DecodeString；两端协议必须统一，不能只在字符串末尾随意删字符。

RawURLEncoding 和普通 Base64 差在哪里

encoding/base64 的 URLEncoding 使用 ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-_ 这套字母表，适合 URL 和文件名。RawURLEncoding 等价于在它上面调用 WithPadding(base64.NoPadding)，所以不会产生 =。这只是传输表示，任何人拿到令牌仍可以解码；需要保密时还要使用签名或加密方案。

编码端固定使用 EncodeToString

令牌最好从原始字节编码，而不是先把内容拼成一个看似随机的字符串。下面的示例把用户标识和过期时间组成载荷，仅演示表示转换；真实认证令牌还应绑定签名、过期校验和重放策略。

package main

import (
	"encoding/base64"
	"fmt"
)

func main() {
	// 这里的 payload 只是演示数据，不代表经过加密或签名。
	payload := []byte("user=42&exp=1792000000")
	token := base64.RawURLEncoding.EncodeToString(payload)
	fmt.Println(token)
}

如果结果将作为查询参数传给第三方，仍要遵守第三方协议的转义规则。Raw URL 编码减少了 +、/ 和 = 带来的歧义，但它不替代 url.QueryEscape 或路由框架的参数构造。

解码时先检查长度，再处理错误

解码不要用字符串截断或手工替换来“修复”令牌。Go 会返回已解出的部分数据和错误，调用方应以错误为准，不要把部分结果当成完整身份信息。

package main

import (
	"encoding/base64"
	"fmt"
)

func decodeToken(token string) ([]byte, error) {
	// 无填充 Base64 的长度余 1 不可能补成完整编码。
	if len(token)%4 == 1 {
		return nil, fmt.Errorf("invalid raw base64 length: %d", len(token))
	}
	// DecodeString 会检查 URL 字母表和剩余位，错误时不能继续使用结果。
	data, err := base64.RawURLEncoding.DecodeString(token)
	if err != nil {
		return nil, fmt.Errorf("decode token: %w", err)
	}
	return data, nil
}

func main() {
	data, err := decodeToken("dXNlcj00MiZleHA9MTc5MjAwMDAwMA")
	if err != nil {
		fmt.Println(err)
		return
	}
	fmt.Printf("%s\n", data)
}

这里的长度检查只是更早返回清晰错误，不能代替解码器检查。即使长度合法，出现 +、/、= 或其他非 URL 字符时，仍应让解码失败。

与带填充输入兼容时不要混用编码器

协议若规定令牌带 =，应使用 base64.URLEncoding 解码；若协议规定无填充，才使用 RawURLEncoding。两者不是“更严格”和“更宽松”的同义替换，而是不同的线格式契约。

确实需要兼容两种外部输入时，可以先按协议明确列出允许形式，再选择解码器。例如只允许 URL 字母表，输入长度余数为 2 或 3 时补足 2 或 1 个 = 后交给 URLEncoding；余数为 1 直接拒绝。不要对任意输入无限补等号，也不要把标准 Base64 的 +、/ 静默替换后当作同一协议。

相关问题

RawURLEncoding 能不能直接替代 JWT 的编码规则？

它可以处理 JWT 片段所需的 URL 安全、无填充 Base64 表示，但不能替代 JWT 的签名验证、算法限制和声明校验。

为什么 token 长度余 1 时一定失败？

Base64 每四个字符表达三个字节，无填充后合法长度只能余 0、2 或 3；余 1 无法对应完整的字节组。

已经拿到带等号的 URL 令牌怎么办？

如果协议本来允许填充，使用 base64.URLEncoding.DecodeString；不要为了追求短字符串而在解码前盲删等号。