Base64URL エンコーダー・デコーダー

Base64URL とは

Base64URL は、RFC 4648 の第 5 節で「Base 64 Encoding with URL and Filename Safe Alphabet」（URL とファイル名で安全なアルファベットによる Base64 エンコード）として定義されています。1 文字あたり 6 ビットという仕組みは標準の Base64 とまったく同じですが、URL やファイルパスで問題を起こす 2 つの文字を置き換えています。

URL の中では、+ はスペースとして解釈されることがあり、/ はパスの区切り、= はクエリのキーと値の区切りに使われます。そのため、標準の Base64 をリンクに含めるにはパーセントエンコードが必要ですが、Base64URL ならエスケープは不要です。RFC 4648 では、文脈から長さが分かる場合にパディングを省略することが認められており、Base64URL を採用しているほとんどの仕様が実際に省略しています。

Base64URL の用途

• JSON Web Token。JWT のヘッダー、ペイロード、署名は、それぞれパディングなしの Base64URL です（RFC 7515）。JWT デコーダーで中身を確認できます。
• OAuth 2.0 PKCE。code_challenge は、コード検証子（code verifier）の SHA-256 ハッシュをパディングなしの Base64URL で表したもの（RFC 7636）なので、常に 43 文字になります。
• JSON Web Key と WebAuthn。n、e、x、y などの鍵パラメーターや、WebAuthn のチャレンジ、クレデンシャル ID は Base64URL でやり取りされます。
• トークン、ID、ファイル名。パスワードリセット用のリンク、署名付き URL、キャッシュキーでは、Base64URL をエスケープせずにそのまま使えます。16 バイトのランダムな ID は 22 文字になります。Base64URL は大文字と小文字を区別するため、大文字と小文字を区別しないファイルシステムでは Base32 を使うことをおすすめします。

Base64 と Base64URL の相互変換

どちらの種類も同じバイト列をエンコードするため、変換は文字の置き換えだけで済みます。+ を - に、/ を _ に置き換え、末尾の = を削除します。元に戻すには、文字を逆に置き換え、長さが 4 の倍数になるまで = を追加します。このページのデコーダーは、パディングの有無にかかわらず、どちらのアルファベットも受け付けます。

// Node.js 16 以降
Buffer.from(data).toString('base64url')
Buffer.from(str, 'base64url')

# Python（urlsafe_b64encode はパディングを残します）
base64.urlsafe_b64encode(data).rstrip(b'=')

// Go
base64.RawURLEncoding.EncodeToString(data)

// Java
Base64.getUrlEncoder().withoutPadding().encodeToString(bytes)