مُرمِّز ومُفكِّك ترميز Base64

يوجد Base64 لأن جزءًا كبيرًا من البنية التحتية المبنية حول النص — البريد، JSON، XML، عناوين URL — لا يمكنها نقل بايتات ثنائية عشوائية بشكل موثوق، والتي قد تحتوي أحرف تحكم، بايتات فارغة، أو تسلسلات بايتات تُنهي سلسلة نصية قبل الأوان أو تكسر مُحلِّلًا مباشرة. يُخصِّص Base64 كل ثلاثة بايتات من بيانات ثنائية عشوائية إلى أربعة أحرف مُستخرَجة من مجموعة ثابتة من 64 حرفًا يتعامل معها أي نظام قائم على النص بأمان — حروف وأرقام ورمزان — لذا يمكن تضمين النتيجة المُرمَّزة في JSON، إرسالها كمرفق بريد، أو تضمينها في مستند دون أن يُسيء أي شيء لاحق تفسيرها كشيء غير نص عادي.

الزيادة في تلك السلامة ثابتة ولا مفر منها: أربعة أحرف إخراج لكل ثلاثة بايتات إدخال، توسع بحوالي 33%، بغض النظر عن البيانات الأساسية. هذا هو الثمن المدفوع مقابل نقل مضمون وآمن عبر قنوات نصية فقط، لا عيب خاص بأي تطبيق معين.

دالة `btoa` المُضمَّنة في المتصفح، التي تلجأ إليها مباشرة العديد من تطبيقات Base64 السريعة، تُخرج خطأً في اللحظة التي تصادف فيها أي حرف فوق نقطة الرمز U+00FF — وهذا يشمل أساسًا كل الإيموجي، والصينية واليابانية والكورية والسيريلية واليونانية والعربية، بالإضافة إلى الكثير من الأحرف اللاتينية المُنقَّطة المستخدمة في الفرنسية والألمانية والإسبانية ولغات أخرى. هذه ليست حالة حدّية غامضة تؤثر على مدخلات نادرة؛ إنها تؤثر على جزء كبير جدًا من النص الحقيقي، وهذا سبب فشل الكثير من أدوات Base64 المصنوعة يدويًا التي تعمل بشكل مثالي في اختبارات بإدخال إنجليزي بسيط ثم تفشل أول مرة يلصق فيها مستخدم شيئًا بإيموجي أو اسم غير لاتيني.

الحل هو ترميز النص كبايتات UTF-8 أولًا، ثم ترميز تلك البايتات بـBase64 — وهذا ما تفعله المُرمِّزات المبنية بشكل صحيح وما تفعله هذه الأداة — بدلًا من محاولة إدخال نقاط رمز Unicode مباشرة في ترميز مُصمَّم لتسلسلات بايتات أقل من 256.

مجموعة أحرف Base64 القياسية تتضمن `+` و`/`، وكلاهما له معنى في عنوان URL — `+` أحيانًا يُفسَّر كمسافة، و`/` فاصل مسار — لذا سلسلة Base64 قياسية مُلصَقة مباشرة في سلسلة استعلام أو اسم ملف قد تتلف أو تُقطَع بصمت عند المرور عبر أي شيء يُحلِّل ذلك العنوان. يستبدل Base64URL هذين الحرفين بـ`-` و`_`، ولا يحمل أي منهما معنى خاصًا في عنوان URL، ويزيل عادةً أيضًا أحرف الحشو `=` الختامية، الموجودة فقط للإشارة إلى الطول وغير ضرورية بمجرد أن يعرف المُفكِّك مُسبَّقًا توقعها.

تستخدم JSON Web Tokens ترميز Base64URL بالضبط لهذا السبب: يُصمَّم JWT للانتقال داخل ترويسة HTTP Authorization وأحيانًا عنوان URL، وستجعل أحرف Base64 القياسية المحجوزة ذلك غير موثوق.

يستحق قوله بوضوح لأن الافتراض يظهر كثيرًا: يوفر Base64 سرية صفرية. لا يوجد أي مفتاح سري متضمَّن في أي نقطة من العملية، لذا يمكن لأي شخص يحصل على سلسلة Base64 فك ترميزها مرة أخرى إلى البيانات الأصلية فورًا باستخدام مجرد استدعاء مكتبة قياسي أو أداة بالضبط مثل هذه. ترميز كلمة مرور أو مفتاح API بـBase64 قبل تخزينه أو نقله لا يوفر أي حماية على الإطلاق — إنه فقط يُخفي القيمة من نظرة عابرة، وهي خاصية مختلفة جدًا عن الأمان الحقيقي.