Кодировки и URL

Кодирование меняет форму данных, но не прячет их: чтобы раскодировать строку, нужен только алгоритм, а не ключ, поэтому Base64, процентную запись или UTF-8 снимает любой желающий — в том числе инструментом на этой странице. Шифрование скрывает содержимое: без ключа прочитать данные нельзя, и знание алгоритма само по себе не помогает. Отсюда практическое следствие: кодирование защищает от поломки при передаче — запрещённых символов, пробелов, переводов строк, обрезанных байтов, — но не защищает от чужого взгляда. Пароль, ключ или токен, просто переведённый в Base64, остаётся открытым для всех.

На сервер не уходит ничего: инструменты считают результат в браузере на JavaScript, введённое не отправляется по сети, не сохраняется и не логируется. Проверить это можно так: откройте страницу, отключите интернет и продолжите работу — результат считается точно так же. Но безопасность этим не ограничивается: вставленная строка останется в буфере обмена, в истории вкладки и в памяти браузера на вашем компьютере. Поэтому рабочие токены и пароли лучше проверять на тестовых значениях, а секрет, который вы не показали бы коллеге в чате, не стоит нести и в сторонний веб-инструмент.

Обычный Base64 использует знаки «+» и «/», а на конце добивает строку знаками «=» до кратности четырём. В адресе и в токене эти символы мешают: «+» в строке запроса читается как пробел, «/» разделяет путь, «=» отделяет имя параметра от значения. Base64URL заменяет «+» на «-», «/» на «_» и обычно отбрасывает выравнивание — так строка безопасно живёт внутри ссылки и не требует экранирования. Сами данные при этом не меняются: это те же байты, записанные другими символами. Поэтому одно и то же значение в разных местах выглядит по-разному, и при переносе строки важно, какой из двух алфавитов ждёт получатель.

UTF-8 — способ записать любой символ Юникода байтами. В адресе по стандарту допустимы только латинские буквы, цифры и небольшой набор служебных знаков, всё остальное кодируется процентной записью: каждый байт превращается в знак «%» и две шестнадцатеричные цифры. Русская буква занимает в UTF-8 два байта, отсюда «%D0%9F» вместо «П» — на одну букву приходится два таких знака. Пробел в пути кодируется как %20, а в строке запроса иногда заменяется плюсом: плюс означает пробел только там. Поэтому одна и та же строка в разных местах адреса выглядит по-разному.

Нет. Первые две части токена — это Base64URL от обычного JSON, их читает кто угодно и правит без всякого ключа: подпись при этом останется прежней, а содержимое изменится. Подпись как раз и подтверждает, что токен выдал владелец ключа и что поля не тронули по дороге. Проверка подписи требует ключа или публичного ключа сервиса и выполняется на сервере, а не в браузере. Данные из непроверенного токена годятся только для отладки — посмотреть, что за поля пришли, но не принимать по ним решений о доступе.

Потому что способов записать нелатинский символ несколько, и каждый решает свою задачу. Процентная запись (%D0%9F) работает с байтами и нужна там, где допустимы только латинские символы: в адресе, в заголовке HTTP, в имени cookie. Экранирование \u041F — запись кода символа для JavaScript и JSON, где важна длина и однозначность строки. HTML-мнемоника П или « — для HTML, где символ иначе слился бы с разметкой. Все три варианта описывают один и тот же символ разными средствами, и подставлять их друг вместо друга нельзя. Поэтому при переносе строки из одной системы в другую важно, какую именно запись ждёт получатель.