tp-link 8.1.4固件web界面解析url参数时，标准base64的/、+、=会因http规则导致截断或误解码；须改用url安全base64（+→-、/→_、=省略）并双重url编码，后端需兼容多种解码路径且校验utf-8合法性。

TP-Link 8.1.4固件的Web管理界面在解析URL查询参数时，若参数值是标准Base64编码（含 / 和 +），会因URL路径分隔和空格替换规则导致截断或错误解码——/ 被当作路径分隔符提前终止参数解析，+ 被当成空格处理，= 可能被某些中间层剥离。这不是TP-Link特有bug，而是所有基于标准HTTP URL解析的系统共性问题。

必须用URL安全Base64（base64url）编码原始数据

标准Base64中的 +、/、= 在URL中语义冲突，必须替换：

• + → -（减号）
• / → _（下划线）
• 末尾填充 = 可省略（推荐省略，避免被网关/代理误删）

例如原始字符串 "admin:pass123"：

Skill Weave Chains — 技能链路由引擎

开箱即用的技能链路由引擎。13 条预定义链覆盖搜索、开发、审查、MLOps、法律、创意等场景，三层路由架构（触发词→SAD反馈→DAG编排），recall@10=96.97%。配置驱动（chains.yaml），零代码扩展。pip install skill-weave-chains 一键安装。

下载

• 标准Base64： YWRtaW46cGFzczEyMw== → 含 / 和 =，传入URL会出错
• URL安全Base64： YWRtaW46cGFzczEyMw（去=）或 YWRtaW46cGFzczEyMw（已无/和+）→ 安全可用

前端发送时需主动编码并URL编码双重保护

即使用了base64url，仍建议对整个参数值再做一次 encodeURIComponent()，尤其当base64url字符串里可能含 -、_ 以外的保留字符（如旧实现混用符号）：

• JavaScript示例：
  const param = encodeURIComponent(btoa("admin:pass123".split("").map(c => c.charCodeAt(0)).join("")));
  更稳妥写法（推荐）：
  

  const safeB64 = btoa(unescape(encodeURIComponent("admin:pass123"))).replace(/\+/g, "-").replace(/\//g, "_").replace(/=/g, "");<br>const url = `/cgi?token=${encodeURIComponent(safeB64)}`;

• 不推荐只依赖浏览器自动encode：部分老固件JS引擎对特殊字符处理不一致

后端（TP-Link CGI脚本）接收时要兼容多种输入形态

实际环境中，你无法完全控制上游如何发参，所以CGI处理逻辑应具备容错性：

• 先按原样读取 query string 中的参数值（如 token）
• 尝试三种解码路径：
   ① 直接 base64url 解码（替换 -→+、_→/，补足等号至4字节倍数）
   ② 若失败，尝试标准Base64解码（可能来自未适配的客户端）
   ③ 若仍失败，检查是否被多次URL decode（如 %2B 变成 + 再变空格）
• 解码后务必验证UTF-8合法性，避免乱码或崩溃（TP-Link BusyBox环境对非法字节敏感）

验证是否真正“完整接收”的关键检查点

别只看浏览器地址栏显示，要抓包确认传输层真实内容：

• 用浏览器开发者工具 → Network → 查看请求的 Headers → Query String Parameters，确认斜杠是否已消失
• 用Wireshark或tcpdump抓HTTP明文包，看GET行中该参数值是否含 / 或 +
• 在CGI脚本开头加日志：echo "RAW_TOKEN=$QUERY_STRING" >> /tmp/debug.log，观察原始输入
• 对比编码前后长度：base64url长度应为4的倍数（补等号后），且不含 /+ =