btoa()和atob()无法直接处理Unicode字符，因btoa要求输入为Latin-1字节（码点≤255），而中文、emoji等UTF-16字符超出范围会抛DOMException；安全方案是encodeURIComponent后btoa，解码时需decodeURIComponent(atob())，并注意trim()和格式校验。
btoa() 和 atob() 无法直接处理中文、emoji 或任何 Unicode 多字节字符——不是“效果不好”，而是调用即报错，必须前置转换。
为什么 btoa("你好") 会立即抛出 DOMException
btoa() 内部把字符串当作 Latin-1 字节数组处理，每个字符码点必须 ≤ 255。而 JavaScript 字符串是 UTF-16 编码，“你”的码点是 0x4F60（即 20320），远超 255，所以根本进不了编码逻辑，直接中断并抛出 DOMException: The string to be encoded contains characters outside of the Latin1 range。
常见误判点：
-
btoa("héllo")同样失败——带重音符的 é 是 Unicode 字符，不是 ASCII - 不能靠“试试看”判断是否安全，必须对所有非 ASCII 输入做统一预处理
- 服务端返回的 Base64 若含换行或空格（如邮件头格式），
atob()也会报InvalidCharacterError
安全编码：必须用 encodeURIComponent + btoa
正确路径是把 Unicode 字符先转成百分号编码（全是 ASCII），再喂给 btoa()：
const str = "你好"; const encoded = btoa(encodeURIComponent(str)); // → "JUU0JUJEJUEwJUU1JUFEJUE3"
注意：
- 不要用
escape()—— 已废弃，对+、/、~等处理不一致，容易解码失败 - 不要省略
encodeURIComponent直接传原始字符串，哪怕只含一个中文字符也不行 - 如果原始字符串本身含
%（比如已编码过），需先识别场景，避免重复编码
安全解码：顺序不能颠倒，必须 decodeURIComponent(atob())
atob() 解出来的是百分号编码字符串（如 "%E4%BD%A0%E5%A5%BD"），不是可读文本，必须用 decodeURIComponent() 还原：
const encodedStr = "JUU0JUJEJUEwJUU1JUFEJUE3"; const decoded = decodeURIComponent(atob(encodedStr)); // → "你好"
典型错误：
- 写成
atob(decodeURIComponent(encodedStr))—— 参数格式错，atob()收到的是明文，不是 Base64 - 漏掉
.trim()，后端返回的 Base64 常带换行或空格，导致atob()报错 - 没校验 Base64 格式，直接传入
data:text/plain;base64,...前缀字符串
大文件或二进制数据请改用 TextEncoder/TextDecoder
当你要编码的是 ArrayBuffer、TypedArray 或真实二进制内容（如图片 blob、加密密钥），encodeURIComponent 就不合适了——它只处理字符串。
此时应走字节流路径：
function utf8_to_b64(str) {
const bytes = new TextEncoder().encode(str);
const bin = String.fromCodePoint(...bytes);
return btoa(bin);
}
function b64_to_utf8(b64) {
const bin = atob(b64);
const bytes = new Uint8Array(bin.length);
for (let i = 0; i < bin.length; i++) bytes[i] = bin.charCodeAt(i);
return new TextDecoder().decode(bytes);
}
关键区别：
-
TextEncoder输出的是 UTF-8 字节数组，和 Base64 编码逻辑真正对齐 - 比
encodeURIComponent方案更通用，也更适合与 Web Crypto、Fetch body、File API 配合 - 在 Node.js 环境中不可用（无
TextEncoder），需用Buffer替代
最易被忽略的一点：Base64 编码本身不加密，只是编码；如果你在 URL 或日志里暴露了 btoa(encodeURIComponent("token=xxx")) 的结果，等同于暴露原文。该加密的还得上 AES，别拿 Base64 当掩护。
