קידוד וגיבוב: מה שמפתחים באמת צריכים לדעת

קידוד וגיבוב מופיעים בכל מקום בפיתוח אתרים. הטמעת תמונות ב-CSS? Base64. העברת נתונים ב-URLs? קידוד URL. אחסון סיסמאות? גיבוב. אימות משתמשים? JWTs. אלה לא מושגים אקזוטיים — אלה צרכים יומיומיים.

Base64: מבינארי לטקסט

Base64 ממיר נתונים בינאריים לטקסט ASCII. נשמע פשוט, אבל זה שימושי להפליא.

צריכים להטמיע תמונה קטנה ישירות ב-HTML או CSS? Base64. שולחים נתונים בינאריים דרך API של JSON? Base64. מקודדים credentials ל-Basic Auth? ניחשתם נכון.

מקודד/מפענח Base64 מטפל בשני הכיוונים. הדביקו את הנתונים הבינאריים או הטקסט שלכם, קבלו את הגרסה המקודדת. הדביקו Base64, קבלו את המקור בחזרה. אני משתמש בזה כל הזמן לדיבוג קבצים מצורפים לאימייל ו-data URIs.

אזהרה אחת: Base64 מגדיל את הגודל בכ-33%. בסדר לנכסים קטנים, בעייתי לקבצים גדולים.

קידוד URL: רק תווים בטוחים

ל-URLs יש כללים לגבי אילו תווים מותרים. רווחים, תווים מיוחדים, טקסט לא-ASCII — הכל צריך קידוד כדי לנסוע בבטחה ברשת.

מקודד URL ממיר תווים בעייתיים לשווים מקודדים באחוזים. הרווח הופך ל-%20. האימוג'י שלכם הופך למחרוזת ארוכה של קודי אחוזים.

זה חשוב כשבונים query strings באופן דינמי, מטפלים בקלט משתמש ב-URLs, או מדבגים למה קישור לא עובד. לעתים קרובות הבעיה היא תו אחד לא מקודד ששובר את כל ה-URL.

גיבוב: טרנספורמציה חד-כיוונית

גיבוב לוקח קלט ומפיק פלט באורך קבוע. אותו קלט תמיד נותן את אותו hash. אבל אי אפשר להפוך — זו הנקודה.

מחולל Hash תומך ב-MD5, SHA-1, SHA-256 ואחרים. השתמשו ב-SHA-256 לכל דבר שקשור לאבטחה. MD5 בסדר ל-checksums אבל שבור לאבטחה.

שימושים נפוצים: אימות שלמות קבצים (האם ההורדה הושלמה נכון?), אחסון סיסמאות (לעולם אל תאחסנו טקסט גלוי!), יצירת מזהים ייחודיים מתוכן.

לגבי קידוד HTML, זה עוסק במניעת התקפות XSS על ידי בריחה מתווים מיוחדים כמו < ו-> לפני הצגת קלט משתמש.

JWT: טוקנים שנושאים נתונים

JSON Web Tokens נמצאים בכל מקום באימות מודרני. המחרוזת הארוכה שה-API שלכם מחזיר? זה בעצם שלושה חלקים מקודדים ב-Base64 מופרדים בנקודות.

מפענח JWT מפרק את זה. ראו את ה-header (אלגוריתם בשימוש), payload (ה-claims בפועל), ואמתו את המבנה. אי אפשר לאמת את החתימה בלי הסוד, אבל אפשר לבדוק את כל השאר.

מדבגים בעיות auth? בדקו את תפוגת הטוקן. claims שגויים? ראו אותם בבירור. הטוקן לא מפוענח? אולי הוא פגום.

בחירת הכלי הנכון

קידוד הוא הפיך — תמיד אפשר לקבל את המקור בחזרה. גיבוב לא — זו דרך חד-סטרית.

השתמשו ב-Base64 עבור: הטמעת בינארי בטקסט, Basic Auth, data URIs.

השתמשו בקידוד URL עבור: query strings, תווים מיוחדים ב-URLs.

השתמשו בגיבוב עבור: סיסמאות, בדיקות שלמות, IDs ייחודיים.

השתמשו ב-JWT עבור: טוקני אימות, העברת claims בין שירותים.

הטרנספורמציות האלה הן אבני בניין של אבטחת אתרים וטיפול בנתונים. להבין מתי לקודד לעומת לגבב, ולהיות מוכנים עם כלים לשניהם, הופך את הפיתוח לחלק ומאובטח יותר.