加密的怎么看

抓一个加密串，或者拿到一段被编码过的请求体，盯着它看半天——这事儿后端开发多少都遇到过。有人直接把 Base64 当"加密"交差，有人在参数里看到一长串十六进制就发怵，也有人面试被问"这段密文是怎么来的"答不上来。这门课要补的就是这块：不是让你去当密码学研究员，而是让你在面对一段看不懂的数据时，知道该从哪儿下手、能判断出它大概是什么、以及自己写代码时该怎么做才不出事。

先分清哪些是编码，哪些才是真加密

很多"看不出来"的东西其实根本没加密。Base64、URL 编码、十六进制转写、JWT 的三段式结构，这些是可逆的表示方式，拿到手就能还原，跟安全性没关系。课程从这里切入，是因为混淆这两者是实际工作中最常见的错——把 Base64 当保护手段用，等于把门锁换成了透明玻璃。学完这一节，你至少应该能回答：一段以 eyJ 开头的字符串为什么几乎可以直接断定是 JWT，它的头部和载荷是不是明文。

再往后才是对称与非对称的分野。AES 和 RSA 各自解决什么问题、为什么实际系统里常常两个一起用、密钥到底该放哪儿，这些不是背概念，而是决定你能不能看懂别人的加密流程、能不能跟安全同学对上话。

拿到密文，怎么一步步往回拆

这是整门课最实用的部分。面对一段未知数据，先看长度和字符集，判断分组还是流式；再看有没有固定的头部、有没有 IV 或盐值跟着；然后才是猜算法和模式。课程会带着走几类常见场景：接口签名怎么验、Cookie 或 Token 里的字段怎么还原、抓包抓到的加密参数怎么定位到前端对应的加密逻辑。

这类活儿的关键不是"破解"，而是有章法地缩小范围。配套的练习会给出若干段样本，让你自己先判断再对照结论。你会发现，多数时候卡住不是因为算法难，而是因为没注意编码层级套了几层、填充方式对不对、时间戳或随机数有没有参与。

看完应该能回答的问题

• 一段字符串怎么快速判断是编码还是加密，是哈希还是密文？
• AES 的 ECB 和 CBC 在结果上有什么区别，为什么 ECB 不该用在业务数据上？
• 为什么哈希不能用来"加密"密码，加盐和慢哈希分别解决什么？
• HTTPS 已经加密了传输，为什么接口里还要再做一层签名？
• 自己写代码时，密钥硬编码在哪儿最容易被翻出来？

这些问题能答上来，说明你不是在背术语，而是真的建立了判断顺序。

适合谁，以及学之前最好有点什么

如果你写过接口、调过第三方 API、看过抓包结果，但每次遇到加密参数就绕着走，这门课对得上。反过来，如果你连 HTTP 请求结构、常见编码都不熟，建议先补这两块再进来，否则会在细节上反复卡壳。

学习方式上不用追求一遍吃透。建议拿一个自己项目里真实遇到过的加密场景当靶子，边看边试着还原，比顺着目录刷完更有效。看完之后，你未必能设计一套加密方案，但至少再看不懂的数据时，不会只剩"看不懂"这三个字，而是能列出下一步该试什么。