Base64 编码不能提供安全保护，仅用于格式适配；适合场景包括编码已加密/签名值、兼容纯ASCII接口、轻量混淆非敏感元数据；敏感信息必须用加密而非编码。
直接对 HTTP 请求中的敏感参数做 Base64 编码，不能提供安全保护，它只是编码（encoding），不是加密（encryption）。Base64 可被任意人轻易解码，仅适用于规避传输格式限制（如避免 URL 中出现特殊字符、适配某些只接受 ASCII 的字段），绝不可用于隐藏密码、token、身份证号等真实敏感信息。
什么时候适合用 Base64 编码参数
适用场景有限，典型包括：
- 将一个已加密或已签名的值（比如 AES 加密后的密文、JWT 签名段）转为 URL 安全字符串，便于拼接在 query 或 header 中
- 临时兼容老旧接口，要求参数必须是纯 ASCII 字符（如某些 legacy API 的 body 字段只认 base64 字符串）
- 对非敏感元数据做轻量“混淆”，例如日志标识、客户端版本摘要等（不依赖安全性）
如何正确编码字符串参数（含中文/UTF-8）
原生 btoa() 会因 UTF-8 多字节问题报错。必须先转成 UTF-8 字节流，再编码：
function utf8ToBase64(str) {
const bytes = new TextEncoder().encode(str);
return btoa(String.fromCodePoint(...bytes));
}
// ✅ 正确处理中文
console.log(utf8ToBase64('用户ID:张三_2026'));
// 输出类似：JUU0JUJEJUEoJUU1JUE4JUEVX0YzXzIwMjY=
更稳妥的做法是使用成熟库，如 js-base64：
立即学习“Java免费学习笔记（深入）”；
import { Base64 } from 'js-base64';
const encoded = Base64.encode('密码123!@#'); // 自动处理 UTF-8
// 或 URL 安全版（无 + /，不需额外 encodeURIComponent）
const urlSafe = Base64.encodeURI('token:abc+def/');
HTTP 请求中实际应用示例
假设你需在请求头中传递一个经服务端约定的“校验摘要”（本身已由后端加密生成），只需编码后透传：
const rawDigest = 'sha256:abcd1234...'; // 来自服务端签名结果
const encodedDigest = Base64.encode(rawDigest);
fetch('/api/data', {
headers: {
'X-Signature': encodedDigest, // 仅作格式适配，非保密
'Content-Type': 'application/json'
}
});
注意：不要这样做：
// ❌ 危险！等于明文暴露
fetch('/login', {
method: 'POST',
body: JSON.stringify({
username: 'admin',
password: btoa('myPass123') // 任何人抓包即可 atob() 还原
})
});
真正该做的：用加密而非编码
若参数确实敏感（如登录凭证、个人身份信息），应：
- 前端调用 Web Crypto API 做 AES 加密（配合服务端共享密钥或非对称加解密）
- 始终通过 HTTPS 传输，防止中间人截获
- 优先由后端生成短期有效 token（如 JWT），前端只负责携带，不参与敏感内容构造
- 避免在 URL query 中传递任何敏感字段（易被日志、代理缓存）
Base64 是搬运工，不是守门员。用对地方才不翻车。
