SecureString转UTF8生成Base64时末尾字节不符问题排查

问题根源 #

当前实现的函数存在两个核心错误，导致Base64结果末尾多出冗余字节：

1. 编码转换逻辑错误：
   代码错误地将UTF-16（Unicode）编码的字节转换为ISO-8859-1（编码ID 28591）字节，而非直接转换为目标的UTF-8字节，完全偏离需求且保留了冗余空终止符。
2. 缓冲区包含空终止符：
   SecureStringToCoTaskMemUnicode会在生成的非托管内存末尾添加UTF-16格式的空终止符（0x0000），而代码通过GetMaxByteCount创建的缓冲区为最坏情况长度，Marshal.Copy会将整个缓冲区（含空终止符）复制到数组中，最终导致Base64结果多了一个对应空字节的片段。

修复后的函数 #

function ToBase64String {
    Param(
        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [Security.SecureString]$string
    )

    $srcBufferPtr = [System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($string)
    try {
        # 仅分配有效字符所需的字节数：UTF-16每个字符占2字节
        $unicodeBytes = [System.Byte[]]::CreateInstance([System.Byte], $string.Length * 2)
        [System.Runtime.InteropServices.Marshal]::Copy($srcBufferPtr, $unicodeBytes, 0, $unicodeBytes.Length)
        
        # 直接将UTF-16字节转换为UTF-8字节
        $utf8Bytes = [System.Text.Encoding]::UTF8.GetBytes([System.Text.Encoding]::Unicode.GetString($unicodeBytes))
        
        # 生成最终Base64字符串
        [System.Convert]::ToBase64String($utf8Bytes)
    }
    finally {
        # 强制释放非托管内存，避免泄露
        [System.Runtime.InteropServices.Marshal]::ZeroFreeCoTaskMemUnicode($srcBufferPtr)
    }
}

测试验证 #

使用原测试代码验证，结果将与参考值完全一致：

$secureString = ConvertTo-SecureString -AsPlainText -Force -String "test"

# 参考值 "dGVzdA=="
$utf8Base64 = [System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes("test"))
# 函数输出值匹配参考值: "dGVzdA=="
$secureBase64 = ToBase64String $secureString

Write-Host "参考值: $utf8Base64"
Write-Host "函数输出: $secureBase64"

简化实现（内存安全性提示） #

如果场景对内存明文安全性要求不高，可以简化转换逻辑，但需注意普通字符串会以明文形式存在于内存中：

function ToBase64String {
    Param(
        [Parameter(Mandatory=$true)]
        [ValidateNotNullOrEmpty()]
        [Security.SecureString]$string
    )
    $srcBufferPtr = [System.Runtime.InteropServices.Marshal]::SecureStringToCoTaskMemUnicode($string)
    try {
        $plainText = [System.Runtime.InteropServices.Marshal]::PtrToStringUni($srcBufferPtr)
        [System.Convert]::ToBase64String([System.Text.Encoding]::UTF8.GetBytes($plainText))
    }
    finally {
        [System.Runtime.InteropServices.Marshal]::ZeroFreeCoTaskMemUnicode($srcBufferPtr)
    }
}

内容的提问来源于stack exchange，提问作者Aleksandr Medvedev