在 Java Web（如 Quarkus）中通过 URL 传递 AES 密文时，标准 Base64 编码产生的 + 和 / 会被 HTTP 路径解析器误认为分隔符或转义字符，导致解密失败；使用 URL-safe Base64 编码（- 替代 +，_ 替代 /，省略填充 =）可彻底规避该问题。
在 java web（如 quarkus）中通过 url 传递 aes 密文时，标准 base64 编码产生的 `+` 和 `/` 会被 http 路径解析器误认为分隔符或转义字符，导致解密失败；使用 url-safe base64 编码（`-` 替代 `+`，`_` 替代 `/`，省略填充 `=`）可彻底规避该问题。
当 AES 加密后的密文需嵌入 URL（例如 GET 请求路径参数 https://api.example.com/user/WKqxB/qNPQUz6wRbHZrpBQ==）时，标准 Base64.getEncoder() 生成的字符串含 +、/ 和末尾 = —— 这些字符在 URL 中具有特殊语义：+ 被解析为空格，/ 触发路径层级分割，= 可能被截断或误处理，最终导致服务端无法正确还原密文，抛出 IllegalArgumentException 或解密乱码。
根本解法：改用 URL-safe Base64 编码
Java 8+ 提供了开箱即用的 Base64.getUrlEncoder() 与 Base64.getUrlDecoder()，其设计严格遵循 RFC 4648 §5（Base64URL），具备三大特性：
-
+→-，/→_（避免路径冲突） - 自动省略填充字符
=（消除 URL 解析歧义） - 保持编码长度不变，与标准 Base64 100% 兼容（仅字符集映射不同）
✅ 推荐改造方案（适配您现有 EncryptUtil 类）：
// 替换原 encrypt() 方法中的 Base64 编码逻辑
public String encrypt(String input, String key)
throws NoSuchPaddingException, NoSuchAlgorithmException,
InvalidAlgorithmParameterException, InvalidKeyException,
BadPaddingException, IllegalBlockSizeException {
byte[] desKeyData = key.getBytes(StandardCharsets.UTF_8); // 显式指定 UTF-8
Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
SecretKeySpec myKey = new SecretKeySpec(desKeyData, "AES");
IvParameterSpec specie = new IvParameterSpec(initializationVector);
cipher.init(Cipher.ENCRYPT_MODE, myKey, specie);
byte[] cipherText = cipher.doFinal(input.getBytes(StandardCharsets.UTF_8));
// ✅ 关键修改：使用 URL-safe Base64 编码
return Base64.getUrlEncoder().encodeToString(cipherText);
}
// 替换原 decrypt() 方法中的 Base64 解码逻辑
public String decrypt(String cipherText, String key)
throws NoSuchPaddingException, NoSuchAlgorithmException,
InvalidAlgorithmParameterException, InvalidKeyException,
BadPaddingException, IllegalBlockSizeException {
byte[] desKeyData = key.getBytes(StandardCharsets.UTF_8);
Cipher cipher = Cipher.getInstance("AES/CBC/PKCS5Padding");
SecretKeySpec myKey = new SecretKeySpec(
Arrays.copyOf(desKeyData, 16), "AES"
);
IvParameterSpec ivspec = new IvParameterSpec(initializationVector);
cipher.init(Cipher.DECRYPT_MODE, myKey, ivspec);
// ✅ 关键修改：使用 URL-safe Base64 解码
byte[] plainText = cipher.doFinal(Base64.getUrlDecoder().decode(cipherText));
return new String(plainText, StandardCharsets.UTF_8);
}
⚠️ 重要注意事项：
-
必须成对使用：加密端用
getUrlEncoder()，解密端必须用getUrlDecoder()，混用将导致解码失败。 -
IV 安全性提醒：您当前代码中硬编码
initializationVector = {0,0,...,0}属于 严重安全隐患（ECB/CBC 模式下 IV 必须随机且不可复用）。生产环境务必改为每次加密生成新 IV（如new SecureRandom().nextBytes(iv)），并将 IV 与密文拼接（如iv + cipherText）或通过请求头传输。 -
密钥长度校验：AES-128 要求密钥恰好 16 字节，建议在
setKey()或encrypt()开头添加校验逻辑，避免因编码差异（如中文密钥 UTF-8 字节数≠16）引发InvalidKeyException。 -
字符集统一：所有
String.getBytes()必须显式指定StandardCharsets.UTF_8，防止平台默认编码不一致导致乱码（尤其含中文时）。
? 验证示例：
原始密文（标准 Base64）：WKqxB/qNPQUz6wRbHZrpBQ==
URL-safe Base64 后：WKqxB_qNPQUz6wRbHZrpBQ
→ 可安全用于 URL：https://api.example.com/user/WKqxB_qNPQUz6wRbHZrpBQ
此方案无需修改加密算法（仍为 AES-CBC）、不增加额外依赖，仅替换编码器，即可让密文“天然适配” URL 传输场景，是微服务/API 网关（如 Kubernetes Ingress、Spring Cloud Gateway）中加密参数传递的标准实践。
