ترميز وفك ترميز Base64

ما الغرض منه

يحلّ Base64 مشكلة واحدة: لديك بايتات عشوائية، وقناة لا تحمل إلا نصاً قابلاً للطباعة. فترويسات البريد، وحقول النصوص في JSON، والروابط، وسمات HTML، وقدر كبير من البنية التحتية القديمة، كلها تنهار أمام البيانات الثنائية الخام. ويُسقط Base64 كل ثلاثة بايتات على أربعة محارف من أبجدية من 64 رمزاً تنجو من ذلك كله.

هذا هو الغرض بأكمله. فهو ليس ضغطاً — إذ يزيد الناتج بمقدار الثلث. وليس تشفيراً — إذ لا مفتاح فيه. إنه ترميز نقل، وكل خاصية ينسبها الناس إليه خطأً إنما تنبع من الخلط بين «لا أستطيع قراءة هذا» و«هذا محمي».

أين ستصادفه

• رموز JWT. المقاطع الثلاثة جميعاً، بالأبجدية الآمنة في الروابط ومن دون حشو.
• المصادقة الأساسية في HTTP. فـ Authorization: Basic ليس إلا user:password مرمّزاً بـ Base64 — ولهذا بالضبط تعادل المصادقة الأساسية فوق HTTP العادي إرسالَ كلمة المرور في العلن.
• روابط البيانات. فـ data:image/png;base64,... تضمّن ملفاً مباشرةً في HTML أو CSS.
• شهادات PEM ومفاتيحها. فالأسطر بين -----BEGIN----- و-----END----- هي DER مرمّز بـ Base64.
• مرفقات البريد. فـ SMTP بروتوكول نصي؛ ويستعمل MIME صيغة Base64 لحمل كل ما ليس نصاً.

فخّ اليونيكود

يمنحك المتصفح btoa وatob، وهما فخّ. فكلتاهما تعملان على بايتات ممثَّلة كنص، لذا تُطلق btoa خطأً عند أي محرف فوق U+00FF. جرّبها على رمز تعبيري فتحصل على InvalidCharacterError.

والعلاج هو التحويل إلى بايتات UTF-8 أولاً، وهو ما تفعله هذه الصفحة:

// Encode any string safely
const bytes = new TextEncoder().encode(text);
const b64 = btoa(String.fromCharCode(...bytes));

// Decode back
const binary = atob(b64);
const out = new TextDecoder().decode(
  Uint8Array.from(binary, c => c.charCodeAt(0))
);

وثمة تحفظ على سطر الترميز: فنشر مصفوفة كبيرة داخل String.fromCharCode يفيض بمكدّس الاستدعاء عند نحو مئة ألف عنصر. فمع البيانات الكبيرة كرّر على دفعات — وهذا ما تفعله هذه الصفحة، ولهذا تتعامل مع لصقة بحجم عدة ميغابايتات دون أن تنهار.

الأبجديتان

والحشو هو ما يسبب المتاعب. فمهمته الوحيدة جعل الطول من مضاعفات الأربعة، ويستطيع فاكّ الترميز دائماً حساب المفقود منه — لذا تحذفه الصيغة الآمنة في الروابط. فترفض فاكّات الترميز الصارمة النتيجة عندئذٍ، ولهذا كثيراً ما يفشل مقطع JWT حين يُلصق في أداة أخرى. وفاكّ الترميز هنا يعيد الحشو بنفسه.

أين يُساء استعماله

لأن Base64 غير مقروء للوهلة الأولى، يُستعمل وكأنه سرّ. ويستحق الأمر تسمية الأنماط بعينها:

• استعمال Base64 لتخزين كلمات المرور. هذا نص صريح في زيّ آخر. فكلمات المرور تحتاج تجزئة بطيئة أحادية الاتجاه — bcrypt أو scrypt أو Argon2.
• التعامل مع Base64 في حمولة JWT وكأنها خاصة. فالحمولة يقرؤها كل من يحمل الرمز، بمن فيهم المستخدم نفسه. فلا تضع فيها أبداً ما لا تريد أن تريه إياه.
• استعمال Base64 لتمرير بيانات خلسةً عبر مرشّح. ينجح ذلك لبرهة، وكل فاحص يستحق اسمه يفكّ ترميزه على أي حال.

والقاعدة التي تشمل الثلاثة: إن كان أمن شيء ما يعتمد على ألا يفكّ القارئ ترميزه، فلا أمن فيه أصلاً.

ذات صلة

‏فاكّ ترميز JWT يقسم الرمز ويحلّل المقطعين في خطوة واحدة. أما إن كان مرادك تهريب نص ذاهب إلى رابط لا ترميز بايتات، فإن الترميز المئوي هو الشيء المختلف الذي تريده على الأرجح. وإن تبيّن أن ما فككته ملف JSON، فسيرتّبه لك المنسّق.