Base64字符串还原必须先清洗（trim、补等号、替换URL安全字符）、再用atob()解码为Latin-1字节流，转Uint8Array后经TextDecoder('utf-8')解码为UTF-8字符串，最后JSON.parse；解密配置须存入Pinia/Zustand等运行时状态，不可写入import.meta.env。
不能把解码结果塞进 import.meta.env，它在构建时就固化了，运行时改不了。服务端下发的 Base64 配置，本质是“运行时才拿到的数据”，必须走运行时状态管理路径。
先校验并还原合法 Base64 字符串
服务端返回的 Base64 常含干扰项：末尾缺填充符、用了 URL 安全变种（- 和 _）、带空格或换行、甚至混在 data URL 里。直接传给 atob() 很可能报错。
- 用
.trim()清除首尾空白 - 补足填充符：
str += '='.repeat((4 - str.length % 4) % 4) - 替换 URL 安全字符：
str.replace(/-/g, '+').replace(/_/g, '/') - 正则粗筛是否符合 Base64 格式：
/^[A-Za-z0-9+/]*={0,2}$/.test(str)
正确解码含中文/Unicode 的内容
atob() 输出的是 Latin-1 字节流字符串，若原始配置含中文，直接 JSON.parse(atob(...)) 会乱码或报错。必须还原 UTF-8 语义。
- 用
atob()获取原始字节字符串 - 转为
Uint8Array：Uint8Array.from(decodedStr, c => c.charCodeAt(0)) - 用
TextDecoder('utf-8')解码：new TextDecoder('utf-8').decode(bytes) - 再
JSON.parse()得到真实对象
注入到运行时状态而非伪造环境变量
解密后的配置不能赋值给 import.meta.env.VITE_XXX（无效），也不建议挂全局 window 属性（难维护、易冲突）。
- Vue 项目推荐存入 Pinia store，例如：
useConfigStore().setConfig(decodedObj) - React 项目可用 Context 或 Zustand，初始化时调用
setState(decodedObj) - 纯 JS 场景可封装一个单例配置管理器：
ConfigManager.set(decodedObj) - 所有业务代码统一从该状态读取，不直读
import.meta.env
规避前端硬编码风险
Base64 混淆 ≠ 加密，只是障眼法。若混淆逻辑和密文都在前端，攻击者打开控制台就能复现解码过程。
- 不要把“混淆规则”写死在 JS 里（比如固定替换顺序、固定 padding 方式）
- 更安全的做法：服务端渲染时注入初始
<script>window.__INIT_CONFIG__ = atob("xxx")</script>，前端只负责解码和加载 - 高敏感项（如 API 密钥）应完全由后端控制，前端只拿 token 或临时凭证
