Декодер Base64URL: декодирование URL-safe Base64

Как декодировать Base64URL

1. Вставьте строку в поле Ввод · Base64. При открытии страницы там уже есть URL-safe пример.
2. Результат появится в поле Результат · текст. Строка статуса показывает вариант (Base64URL или Standard), число декодированных байтов и определённый тип. Если дополнения не было, там будет написано «Недостающее дополнение добавлено автоматически».
3. Внутри токенов обычно лежит JSON, и опция Форматировать JSON расставит в нём отступы.
4. Для двоичного содержимого, например хешей или случайных ID, инструмент сообщит, что это двоичные данные, и даст ссылку на подходящий декодер.
5. Нажмите Скопировать результат или Скачать.

Для кодирования есть кодировщик Base64URL. Чтобы перевести строку Base64URL в стандартный Base64 без декодирования, используйте Base64URL в Base64.

Примеры

Для хеша из последней строки текстовый вывод бессмыслен. Откройте его в Base64 в hex, чтобы увидеть байты как 13 d3 1e 96 ....

Дополнение и почему его можно восстановить

Base64URL обычно пишут без =. Информация при этом не теряется: длина корректной строки составляет 4n, 4n + 2 или 4n + 3 символа, и по остатку декодер понимает, один или два байта в последней группе. Инструмент добавляет недостающие = перед декодированием и сообщает об этом в строке статуса.

Длины 4n + 1 не бывает. Если вы видите ошибку «Неверная длина: на один символ больше или меньше, чем нужно», при копировании значения символ потерялся или добавился, например на переносе строки в письме или в логе. Арифметику показывает статья о дополнении.

Многие стандартные декодеры не так снисходительны. atob() в браузерах отвергает - и _ с InvalidCharacterError, а base64.urlsafe_b64decode в Python выбрасывает Incorrect padding, если нет =.

Токены, cookie и параметры URL

• JWT. Токен выглядит как xxxxx.yyyyy.zzzzz. В первых двух частях лежит JSON в Base64URL, третья содержит двоичную подпись. Декодируйте части здесь по одной или вставьте токен целиком в декодер JWT, который заодно показывает срок действия и проверяет подписи. Формат разобран в статье Base64 в JWT.
• Cookie и ID сессий. Сессионные cookie некоторых фреймворков, например Flask, соединяют точками данные в Base64URL и подпись. Декодируйте только часть с данными.
• Параметры URL. OAuth state, адреса редиректа и ссылки «поделиться» иногда несут JSON в Base64URL. Если в значении есть %2F или %2B, его вдобавок percent-кодировали, так что сначала нужно URL-декодирование.

Если в строке смешаны - или _ с + или /, декодер останавливается с сообщением «Во входных данных смешаны символы стандартного (+ /) и URL-safe (- _) алфавитов». Обычно это значит, что склеили два значения или одно сконвертировали лишь частично.

Декодирование Base64URL в коде

// Node.js
Buffer.from("c3ViamVjdHM_X2Q", "base64url").toString("utf8");   // "subjects?_d"

// Browsers with Uint8Array.fromBase64
new TextDecoder().decode(Uint8Array.fromBase64("c3ViamVjdHM_X2Q", { alphabet: "base64url" }));

import base64

def b64url_decode(s: str) -> bytes:
    return base64.urlsafe_b64decode(s + "=" * (-len(s) % 4))

b64url_decode("eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9")   # b'{"alg":"HS256","typ":"JWT"}'

Строка, которая дописывает знаки равенства, подходит для любой длины, допустимой в Base64. Подробнее в статьях Base64 в Node.js, JavaScript и Python.

Вопросы и ответы