如何生成无保留字符的密码重置Token？避免查询字符串失效

完全懂你的困扰——Base64里的/和+确实是URL查询参数的「隐形坑」，不用手动Replace()的话，有两种更优雅的解决方案：

方法一：用.NET内置的URL安全Base64编码 #

如果你用的是ASP.NET（Core），可以直接用WebEncoders类里的Base64UrlEncode方法，它会自动把Base64里的不安全字符替换成URL友好的版本，还会去掉末尾的=填充符，完全符合需求：

using Microsoft.AspNetCore.WebUtilities;
using System.Security.Cryptography;

// 生成加密安全的随机字节数组
using var rng = RandomNumberGenerator.Create();
byte[] randomBytes = new byte[30];
rng.GetBytes(randomBytes);

// 直接生成URL安全的Token
string randKey = WebEncoders.Base64UrlEncode(randomBytes);

这个方法生成的字符串只会包含A-Z、a-z、0-9、-和_，所有字符都是URL无保留字符，直接放在查询字符串里也不会有问题。

方法二：自定义URL安全字符集生成Token #

如果不想依赖ASP.NET的库，也可以自己定义一个纯URL安全的字符集，然后直接从里面随机选取字符生成Token：

using System.Security.Cryptography;
using System.Text;

// 定义仅包含URL无保留字符的集合：大小写字母、数字、-、_
const string UrlSafeCharSet = "ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789-_";
char[] safeChars = UrlSafeCharSet.ToCharArray();
int charSetLength = safeChars.Length;

using var rng = RandomNumberGenerator.Create();
byte[] randomBytes = new byte[30];
rng.GetBytes(randomBytes);

StringBuilder tokenBuilder = new StringBuilder(30);
foreach (byte b in randomBytes)
{
    // 用随机字节值对字符集长度取模，得到安全字符的索引
    int randomIndex = b % charSetLength;
    tokenBuilder.Append(safeChars[randomIndex]);
}

string randKey = tokenBuilder.ToString();

这种方式生成的Token从一开始就没有任何URL不安全的字符，完全不需要后续的替换操作，而且你可以根据需要调整字符集（比如去掉-或_，只要确保都是URL允许的无保留字符就行）。

补充说明 #

之所以原来的Base64会出问题，是因为+和/属于URL保留字符，当作为查询参数传递时，浏览器或服务器可能会自动转义它们，或者在解析时出现歧义，导致读取到的Token和你存入数据库的不一致。上面两种方法从根源上避免了这个问题，比手动Replace()要可靠得多。

内容的提问来源于stack exchange，提问作者Dawid Kubiak