Base64 不是加密：图片、Token、接口字段里遇到 Base64 怎么处理

Base64 的作用是把二进制数据或特殊文本转成一段更适合传输的可见字符。它常出现在图片预览、文件上传、邮件附件、JWT、接口字段和配置里。Base64 不是加密，因为任何人拿到内容都可以解码。如果你把手机号、身份证号、密钥只是做了 Base64 再传输，它并没有变安全。

判断一段文本是不是 Base64，可以看它是否由字母、数字、加号、斜杠、等号组成，长度通常是 4 的倍数。但这不是绝对规则，因为 URL Safe Base64 会用 - 和 _ 替代 + 和 /。最稳妥的办法还是放进 Base64 工具里试着解码，再看解出来的内容是否有意义。

图片转 Base64 后会明显变长，这是正常现象。它的好处是可以把图片直接放进 HTML、CSS 或 JSON 字段里，省掉单独上传文件的步骤；坏处是体积变大、缓存不方便、页面源码变得很长。小图标、临时预览可以用 Base64，大图、封面、商品图更建议上传成文件。

前面的 data:image/png;base64, 是声明，后面才是真正的 Base64 内容。解码时如果工具提示失败，可以先去掉声明部分再试。做网站图片时，最终资源更建议压缩成 WebP 或合适尺寸，页面会轻很多。

JWT 通常由三段组成，中间用点号分隔。前两段是 Base64URL 编码后的 Header 和 Payload，解开后能看到算法、用户信息、过期时间等字段。第三段是签名，用来证明前两段没有被篡改。新手容易误会：既然前两段能解开，是不是改一下再编码回去就行？不行，因为签名会校验失败。

排查 JWT 时，可以用 JWT 工具查看 payload，重点看 exp、iat、sub、aud、iss 等字段。不要把 JWT payload 当成秘密区域，它只是编码，不是加密。真正敏感的信息不应该明文放进去。

接口里如果某个字段特别长，而且看起来像一段无意义字符，先确认文档有没有写 base64、file、image、certificate、signature。证书、公钥、图片、文件内容、签名结果都可能用 Base64 表示。排查时先复制字段到工具里解码，看它是文本、JSON、图片还是二进制。

如果解出来是乱码，不一定代表错了，也可能是二进制文件。此时要看字段语义。如果是签名字段，通常不应该解码后人工修改；如果是图片字段，要确认是否带 data URL 声明；如果是证书字段，要确认换行有没有被压成 \n。涉及 HTTPS、证书和接口安全时，证书资源可以参考阿里云官方 SSL 证书页：https://www.aliyun.com/product/cas?userCode=hzn6nvhm 。