在PHP开发里，base64是一种非常基础的二进制到文本编码手段。它常用来在HTTP协议、JSON接口、邮件系统里安全传递图片、证书或中文内容。PHP已经内置了base64_encode和base64_decode两个函数，理解它们的运作方式能帮你少踩很多坑。
一、base64到底是什么
很多人把base64叫加密，其实它只是编码。加密的目标是保密，而base64的目标是让任意字节变成由A到Z、a到z、0到9、加号和斜杠这64个安全字符组成的文本。它没有任何密钥，任何人拿到字符串都能还原。所以在安全设计里，base64后面通常还要接真正的加密层。
base64把每3个字节合并成24位，再拆成4组6位，每组映射成一个可见字符。如果原文长度不是3的倍数，就用等号补齐。这也导致编码后数据量比原数据大约多出三分之一。在数据库字段长度设计或接口报文大小限制时，必须把这个膨胀算进去。
二、PHP内置加密（编码）函数用法
base64_encode接收一个字符串参数，返回base64编码后的字符串。最典型的场景是把一张图片读成二进制再编码后通过接口返回。下面演示对中文和图片的处理方式。
<?php
// 对中文进行base64编码，先转成utf8再编码可避免乱码
$text = '欢迎使用PHP进行开发';
$encoded = base64_encode($text);
echo $encoded; // 5qyi6L+O5L2/55SoUEhQ6L+b6KGM5byA5Y+R
// 读取图片并编码
$imgData = file_get_contents('/var/www/avatar.png');
$imgBase64 = base64_encode($imgData);
echo $imgBase64;
?>
上面的代码里，由于PHP字符串本质就是字节序列，直接对中文变量编码时，若文件本身是utf8则没问题；若源码是GBK，那么编码出的结果在别处用utf8解码就会乱码。因此跨系统传输时，建议显式用mb_convert_encoding统一成utf8。
还有一个细节：base64_encode不会自动处理URL里的特殊字符。加号在URL里会被当成空格，斜杠也会破坏路径。如果要把编码结果放在URL参数中，应当再用str_replace把加号换成中划线、斜杠换成下划线，或者改用base64url变体。
三、PHP内置解密（解码）函数用法
base64_decode负责把base64文本还原成原始字节。它第二个参数strict可设为true，这样遇到非法字符会返回false而不是静默丢弃。生产环境建议开启strict，防止残缺数据被误认为成功解码。
<?php
$encoded = '5qyi6L+O5L2/55SoUEhQ6L+b6KGM5byA5Y+R';
$decoded = base64_decode($encoded, true);
if ($decoded === false) {
echo '解码失败，数据可能被截断';
} else {
echo $decoded; // 欢迎使用PHP进行开发
}
// 解码图片并保存
$imgBase64 = 'iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAQAAAC1HAwCAAAAC0lEQVR42mNk+M8AAAMBAQDJ/pLvAAAAAElFTkSuQmCC';
$raw = base64_decode($imgBase64, true);
file_put_contents('/tmp/test.png', $raw);
?>
当解码来源是其他语言系统时，要确认对方是否用了标准base64。有些系统使用base64url，把加号换成中划线、斜杠换成下划线并且去掉补等号。这种情况下直接调用base64_decode会失败，需要先把字符替换回来再解。
如果原始内容是中文且经过utf8编码，解码后就是一个utf8字节串，在HTML页面输出时只要页面编码也是utf8就能正常显示。若解码后还要做字符串截取或正则，务必用mb_系列函数，否则可能切坏多字节字符。
四、常见误区与避坑技巧
第一个误区是把base64当加密用。曾有开发者把用户密码base64后存库，以为安全，结果运维人员一眼就能还原明文。正确做法是用password_hash做哈希，或先用openssl_encrypt做对称加密再base64传输。
第二个误区是忽略strict参数和等号补位。前端JS使用btoa编码时不会处理unicode，直接把中文传过来，PHP端解码会得到乱码甚至false。建议在接口层对解码结果做校验，比如JSON数据解码后json_decode一次，失败就拒绝请求。
| 场景 | 推荐做法 | 风险 |
|---|---|---|
| URL传参 | base64后替换+ /为- _ | 加号变空格导致解错 |
| 存储中文 | 先mb_convert_encoding到utf8 | 源码编码不同导致乱码 |
| 密码处理 | 禁止仅用base64 | 明文可被还原 |
五、完整实战示例
下面给出一个简单工具函数，封装了安全编码与解码，自动处理strict和url安全场景，方便在项目中复用。
<?php
// 安全base64编码，可选url安全模式
function safe_base64_encode($data, $urlSafe = false) {
$str = base64_encode($data);
if ($urlSafe) {
$str = str_replace(['+', '/'], ['-', '_'], $str);
$str = rtrim($str, '=');
}
return $str;
}
// 安全base64解码，可选url安全模式
function safe_base64_decode($data, $urlSafe = false) {
if ($urlSafe) {
$data = str_replace(['-', '_'], ['+', '/'], $data);
$mod = strlen($data) % 4;
if ($mod) {
$data .= str_repeat('=', 4 - $mod);
}
}
return base64_decode($data, true);
}
// 测试
$msg = '订单号2024与中文测试';
$code = safe_base64_encode($msg, true);
echo $code . PHP_EOL;
$back = safe_base64_decode($code, true);
var_dump($back === $msg);
?>
这个示例中，urlSafe参数控制是否转换成base64url格式，解码时自动补回等号，再用strict模式调用内置函数。这样即便前端传来的字符串少了补位符号，也能正确还原，避免线上接口偶发报错。
总的来说，PHP的base64加解密就是两个函数的事，但要把编码本质、字符集、传输环境想清楚。把它当编码而非加密，在合适的地方做url安全和strict校验，你的接口和存储逻辑会更稳健。
PHPbase64base64_encode修改时间：2026-08-01 14:30:44