Base64校验需区分编码格式、原始内容和传输完整性三类目标：先用正则和长度筛格式，再用base64_decode(true)验可解码性，最后按业务限制原始字节长度。
Base64字符串合法性校验：别只看base64_decode是否返回false
直接用base64_decode($value, true)判断是否为有效Base64，是常见但不充分的做法。它只检查编码格式，不验证原始数据是否可还原（比如含非法填充、长度不对、字符集越界）。真实API场景中，前端可能传入看似Base64的乱码字符串（如"abc123"），base64_decode不会报错，但后续解密或处理会崩。
- 必须同时校验：长度是否为4的倍数、是否只含
A-Za-z0-9+/=、等号是否仅出现在末尾且不超过2个 - Laravel自定义验证规则里，推荐用正则预筛：
preg_match('/^[A-Za-z0-9+\/]*={0,2}$/', $value) && strlen($value) % 4 === 0 - 注意：空字符串
""和纯等号"=="会通过正则但实际无效，需额外排除
Laravel Rule类中做Base64长度与内容双重校验
单纯验证“是Base64”没意义，多数业务需要限制原始数据长度（比如头像不能超2MB解码后）。Laravel的Rule::required()->string()无法覆盖这类逻辑，得写自定义Rule。
- 在
app/Rules/ValidBase64.php中实现passes()方法，先正则过滤，再base64_decode($value, true)获取原始字节 - 用
strlen($decoded)判断原始长度，比如限制≤2097152（2MB）：return $decoded !== false && strlen($decoded) - 别忘了
$decoded可能是false，直接strlen(false)会返回1，导致误判——这是高频翻车点
API请求体字段用base64_string规则时的兼容性陷阱
社区有封装base64_string验证规则包，但部分版本不处理PHP 8.1+的ReturnTypeWillChange警告，或默认允许空值。生产环境上线前必须确认行为一致。
- 如果用
spatie/laravel-validation-rules，它的Base64规则只校验格式，不解码，无法满足长度限制需求 - 自己写的Rule若依赖
mb_strlen判断长度，要注意Base64字符串本身是ASCII，用strlen更准，mb_strlen在非UTF-8 locale下可能出错 - 移动端上传可能带data URL前缀（如
"data:image/png;base64,iVBOR..."），验证前必须用str_replace('data:*/*;base64,', '', $value)剥离，否则正则直接失败
调试时怎么快速定位Base64字段问题
API报错"The image must be a valid base64 string"但前端坚称没问题？别急着改后端，先看原始请求体。
- 用
Log::info(request()->all())打印原始值，注意观察是否含不可见字符（如BOM、换行符），Base64严禁换行 - 复制字段值到命令行执行：
php -r "var_dump(base64_decode('xxx', true) !== false);"，比Laravel日志更快验证底层解码结果 - Chrome DevTools里用
atob('xxx')测试，若浏览器报"InvalidCharacterError"，说明前端生成就有问题，不是后端校验太严
