Go base64 为什么两种 URL 编码不能互解

我在排查 URL 参数时，最容易忽略的不是 Base64 字母表，而是末尾有没有 =。Go 的 base64.URLEncoding 与 base64.RawURLEncoding 都是 URL-safe 编码，都会把 +、/ 换成 -、_；但前者保留标准填充，后者明确关闭填充。编码端和解码端一旦选错配对，就会出现“明明都是 URL 编码，却不能互解”。

官方文档：https://pkg.go.dev/encoding/base64

先把问题归类为“字母表不一致”还是“填充策略不一致”。如果只是 URLEncoding 与 RawURLEncoding 混用，优先修正接口契约，不要在每次解码前无条件增删字符。

先分清两种 URL-safe 编码

URLEncoding 使用 RFC 4648 的 URL-safe 字母表，并默认使用 = 作为填充字符；RawURLEncoding 复用同一套字母表，但通过 NoPadding 去掉填充。因此它们不是两套完全不同的 Base64，而是同一字母表下的两种长度约定。

例如同一个输入如果需要填充，带填充的编码结果可能以一个或两个 = 结尾，Raw 版本则不会。这个差异会影响解码器对输入长度和尾部字符的判断：带填充的编码器期待完整的 4 字节分组，Raw 编码器则允许最后一组省略填充。

从错误现象判断协议不匹配

常见现场是生产者使用 RawURLEncoding.EncodeToString，消费者却用 URLEncoding.DecodeString。输入没有 = 时，带填充解码器可能报 illegal base64 data at input byte ...；反过来，生产者保留了 =，消费者用 Raw 解码器，尾部填充也可能被视为不符合 Raw 约定。

排查时先记录三个事实：传输字符串是否包含 =、长度是否符合当前编码器的规则、编码和解码是否来自同一份接口文档。不要只把错误位置当作坏数据下标，它通常只是解码器第一次发现双方约定不一致的位置。

package main

import (
	"encoding/base64"
	"fmt"
)

func main() {
	data := []byte("Go URL token")

	// 两个编码器使用相同的 URL-safe 字母表，但填充策略不同。
	padded := base64.URLEncoding.EncodeToString(data)
	raw := base64.RawURLEncoding.EncodeToString(data)
	fmt.Printf("padded=%q raw=%q\n", padded, raw)

	// 解码器必须与生产者的填充约定配对，错误要被明确处理。
	decoded, err := base64.RawURLEncoding.DecodeString(raw)
	if err != nil {
		fmt.Println("decode failed:", err)
		return
	}
	fmt.Println(string(decoded))
}

让编码和解码严格成对

如果接口字段由你控制，最简单的做法是把选择写进协议：需要可读、可复制且保留标准形式时，两端都用 URLEncoding；需要省略填充、由 URL 路由或文件名承载时，两端都用 RawURLEncoding。所谓 URL-safe 只说明字符集适合 URL 场景，不代表两种填充形式可以互换。

建议在字段说明中直接写清“URL Base64，保留填充”或“Raw URL Base64，无填充”，并为跨服务的契约测试准备一组固定样例。这样比让每个调用方猜测是否需要补等号更可靠。

历史数据兼容与安全边界

如果系统已经同时存在两种历史格式，可以在协议边界设置一个有限的兼容层：先根据版本、字段来源或明确的格式标记选择解码器；只有旧协议明确允许两种形式时，才在兼容层处理尾部填充。不要把所有输入都自动补齐或自动裁剪，否则可能掩盖截断、字段串接或传输污染。

还要记住，Base64 不是加密。URL-safe 版本只是改变可传输字符，任何拿到字符串的人都可以解码；访问令牌仍需要在传输、存储和权限校验上采用真正的安全措施。对关键字段记录编码格式、来源和解码失败原因，既方便审计，也能避免把协议错误误判成随机数据损坏。

常见追问

把末尾的等号删掉就一定能兼容吗？

不一定。只有在接收方明确使用 Raw URL Base64，且协议允许无填充形式时才可以这样做；如果字符串本身已被截断，删等号会把真实数据问题隐藏起来。

URLEncoding 和 StdEncoding 能互相解码吗？

不能把它们当作通用替代品。两者的主要差异是 +、/ 与 -、_ 的字母表，是否能解码取决于输入是否碰到了这些差异字符以及双方是否约定了 URL-safe 格式。