.NET4.0程序部署高版本环境报Base64字符串无效错误排查

这个报错是在Convert.FromBase64String(cipherText)执行时抛出的，说明代码还没走到后续密钥派生、解密逻辑就已经中断，和.NET版本兼容性、加解密逻辑本身无关，本地运行正常、部署到远程后报错，按以下优先级排查即可：

• 优先排查密文读取/传输的字符污染问题
  这是该类场景下占比最高的故障原因：
  • 检查传入的密文字符串首尾是否携带不可见非法字符：包括空格、制表符、换行符、文件BOM头、配置文件里多余的引号/注释字符，Base64解析不允许首尾存在任何非Base64字符，哪怕多一个半角空格都会直接触发报错。可以在解析前增加cipherText = cipherText.Trim()做首尾空白清理，能解决绝大多数同类问题。
  • 检查密文特殊字符是否被转义：Base64合法字符包含+、/，如果密文经过URL传输、或者存放在做了自动转义的配置节点中，+很容易被转义为%2B甚至空格，/被转义为%2F，转义后的字符串直接传入解析必然报错，这种情况需要先对密文做URL解码再执行Base64转换。
  • 逐字符核对远程环境拿到的密文和本地正常使用的密文是否完全一致，重点检查末尾的=填充符是否在部署复制时被遗漏，密文长度是否和本地一致。
• 排查密文读取的编码差异
  如果密文是从文件、第三方接口响应中读取，确认远程环境读取内容时使用的编码和本地一致，编码不匹配会把密文的ASCII字符读成乱码，自然不符合Base64格式要求。
• 关于.NET版本的说明
  你提到的.NET框架版本差异不需要额外排查：PasswordDeriveBytes在.NET 4.0到高版本.NET Framework中不存在会影响运行的兼容性变更，且当前报错根本没有执行到该类的相关逻辑。

快速定位技巧：在Base64解析前加日志，打印拿到的cipherText完整内容、长度、每个字符的ASCII码值，和本地正确的密文做逐位对比，1分钟就能定位到具体的非法字符位置。

修复后的入参处理参考代码 #

public static string Decrypt(string cipherText)
{
    if (string.IsNullOrWhiteSpace(cipherText))
        return string.Empty;
    
    // 清理首尾空白字符
    cipherText = cipherText.Trim();
    // 如果确认密文存在URL转义，取消下面这行的注释
    // cipherText = System.Web.HttpUtility.UrlDecode(cipherText);

    byte[] cipherBytes = Convert.FromBase64String(cipherText);
    PasswordDeriveBytes pdb = new PasswordDeriveBytes(
        new byte[] { 0x50, 0x00, 0x41, 0x00, 0x43, 0x00, 0x43, 0x00, 0x41, 0x00, 0x52, 0x00, 0x34, 0x00, 0x32, 0x00,
            0x35, 0x00, 0x34, 0x00, 0x36, 0x00, 0x38, 0x00, 0x37, 0x00, 0x34, 0x00, 0x30, 0x00, 0x30, 0x00, },
        new byte[] { 0x49, 0x76, 0x61, 0x6e, 0x20, 0x4d, 0x65, 0x64, 0x76, 0x65, 0x64, 0x65, 0x76 });
    byte[] decryptedData = Decrypt(cipherBytes, pdb.GetBytes(32), pdb.GetBytes(16));
    
    return System.Text.Encoding.Unicode.GetString(decryptedData);
}

内容的提问来源于stack exchange，提问作者Maddy