请求头携带加密Session ID时浏览器报错，内容出现异常空格求助

你遇到的问题核心是加密后的Session ID包含不可打印的二进制字符，直接放到HTTP请求头里违反了HTTP协议规范，浏览器自动对这些非法字符做了替换处理（比如把不可打印字符换成空格），最终导致请求头内容不一致、验证失败。

问题根源 #

HTTP协议明确要求请求头的字段值必须是可打印的ASCII字符，而加密生成的Session ID通常是二进制数据，包含大量非打印字符（就是你看到的乱码符号）。浏览器在解析这些不符合规范的字符时，会自动进行篡改或截断，这就是前后端请求头内容不一致的原因。

解决方案：将二进制数据转为Base64编码 #

这是处理HTTP头中二进制数据的标准方案，分三步操作：

1. 在Session类中对加密后的ID做Base64编码
   修改你的Session类，在生成/加密Session ID后，用Base64把二进制数据转成可打印字符串再存入Session：

   class Session {
       public function __construct() {
           if(session_status() == PHP_SESSION_NONE) {
               session_start();
           }
           // 假设$encryptedSID是你加密后的二进制Session ID
           $encryptedSID = $this->yourEncryptionLogic(); // 你的加密方法
           // 转成Base64编码的字符串存入Session
           $_SESSION['sID'] = base64_encode($encryptedSID);
       }
   }
   

2. 前端直接输出编码后的字符串
   现在输出到请求头的就是合法的可打印字符，浏览器不会再篡改内容：

   headers: { "Authorization": "<?php echo $_SESSION['sID']; ?>", }
   

3. 后端验证时解码还原
   当后端收到Authorization头时，先通过Base64解码还原二进制数据，再进行解密验证：

   // 获取请求头中的Authorization值
   $authToken = isset($_SERVER['HTTP_AUTHORIZATION']) ? $_SERVER['HTTP_AUTHORIZATION'] : '';
   // Base64解码还原二进制加密数据
   $encryptedSID = base64_decode($authToken);
   // 执行你的解密和Session ID验证逻辑
   $isValid = $this->verifySessionID($encryptedSID);
   

额外提示 #

• 如果担心Base64中的+、/字符在传输中出问题，可以使用URL安全的Base64编码：把+替换成-，/替换成_，解码时再转回来即可。
• 你可以用bin2hex($_SESSION['sID'])输出加密后的ID十六进制值，确认是否确实包含非打印字符，进一步验证问题根源。

内容的提问来源于stack exchange，提问作者Özgür Can Karagöz