C#与JSP中字节数组编码及JS使用一致性问题咨询

首先得点明你遇到的核心问题：你在C#里直接把随机字节用Encoding.Unicode（本质是UTF-16LE编码）转成字符串存入隐藏域，但随机字节大多不是合法的UTF-16字符，所以JS拿到的自然是乱码——这是把非文本的二进制数据硬当成文本处理的必然结果。

正确的思路是把随机字节转换成Base64字符串，Base64专门用来将二进制数据转成可打印的文本字符，不会出现乱码，而且C#、Java、JS三方都能完美兼容处理。

先修正你的C#代码 #

把原来的Unicode编码逻辑改成Base64编码，这样隐藏域里的值就是正常的可打印字符串：

using System.Security.Cryptography;
using System.Text;

RNGCryptoServiceProvider rng = new RNGCryptoServiceProvider();
byte[] rnd = new byte[64];
rng.GetBytes(rnd);
// 替换原Unicode编码，改用Base64转字符串
hidChallenge.Value = Convert.ToBase64String(rnd);

对应的Java（JSP）代码 #

要实现和C#完全一致的逻辑，需要注意两个关键点：

1. 使用安全的随机数生成器（对应C#的RNGCryptoServiceProvider，Java里要用SecureRandom而非普通Random，后者安全性不足）
2. 同样将随机字节转成Base64字符串

代码示例：

import java.security.SecureRandom;
import java.util.Base64;

SecureRandom secureRandom = new SecureRandom();
byte[] rndbyte = new byte[64];
secureRandom.nextBytes(rndbyte);
// 转成Base64字符串，和C#的Convert.ToBase64String行为完全一致
String challengeBase64 = Base64.getEncoder().encodeToString(rndbyte);
// 将值绑定到页面隐藏域，比如通过request.setAttribute传递给JSP

JavaScript端的处理 #

现在JS拿到的是正常的Base64字符串，如果你需要把它转回字节数组（比如后续验证场景），可以用这个方法：

// 获取隐藏域的Base64值
var base64Str = document.getElementById("<%=hidChallenge.ClientID %>").value;

// 工具函数：Base64转字节数组
function base64ToBytes(base64) {
    var binaryString = window.atob(base64);
    var bytes = new Uint8Array(binaryString.length);
    for (var i = 0; i < binaryString.length; i++) {
        bytes[i] = binaryString.charCodeAt(i);
    }
    return bytes;
}

// 得到和C#/Java端一致的字节数组
var challengeBytes = base64ToBytes(base64Str);

补充说明：为什么原来的方法行不通？ #

Encoding.Unicode.GetString(rnd)会把字节数组强行当成UTF-16LE编码的文本，但随机生成的字节几乎不可能符合UTF-16的编码规则——无效的字节序列会被浏览器替换成乱码字符，而且这类包含不可打印字符的字符串在传输、存储过程中还可能被截断或修改，完全没法保证后续验证的一致性。Base64则彻底规避了这些问题，它只使用可打印的ASCII字符来表示二进制数据，是处理这类场景的标准方案。

内容的提问来源于stack exchange，提问作者VOLVO