CyberChef 上手：浏览器内数据解码、配方与本地部署

CyberChef 是一个在浏览器里做数据处理的开源网页应用，由英国政府通信总部（GCHQ）开源。它把 Base64 解码、哈希计算、时间戳转换、压缩包解压、证书解析这类零散操作收进同一个页面，用拖拽排成一条“配方”依次执行。不用安装、不用注册，打开网页就能把一段看不懂的数据拆开看。

CyberChef 是什么：一名分析师的业余项目

项目在 2016 年 11 月 28 日对外发布，代码同月以 Apache 2.0 协议完全开放。据英国政府 2021 年发布的一份案例说明，它最初来自一名分析师的“10% 创新时间”：当时缺少顺手的开源数据转换工具，为每个小需求写脚本太费时间，于是有了这个页面。

到 2026 年 11 月 2 日，仓库在 GitHub 上有 36,294 个 star、4,192 次 fork，主语言是 JavaScript。当前发布版本为 v11.5.0，发布于 2026 年 9 月 18 日；官方在线版的编译时间标注为 2026 年 10 月 29 日。

它和常见的“在线工具箱”不太一样。单个操作都很简单，把多个操作串起来才显出价值：多层嵌套编码可以一层层剥开，二进制里能抠出结构，几十条时间戳能一次格式化。原本要写脚本的活，在页面上拖几下就有结果。

在线版还是本地跑：四条路径怎么选

官方在线版在 gchq.github.io/CyberChef，打开即用，不需要登录。数据在浏览器里处理，官方说明没有服务端组件。

如果数据不方便离开内网，可以走本地路线。按投入从低到高有三种做法：

• 下载独立 ZIP：官方页面提供打包好的 ZIP，解压后用浏览器打开即可，也可以放进内网 Web 服务器。它不会自动更新，安全修复要重新下载新版本才能拿到。
• Docker：执行 docker run -it -p 8080:8080 ghcr.io/gchq/cyberchef:latest，再访问 localhost:8080。v11 起容器端口从 80 改成了 8080，照旧教程写 80 会连不上。
• 源码构建：需要 Node.js 24，npm install 之后用 npm start 起开发服务器，默认端口同样是 8080。

版本节奏也值得留意。项目按语义化版本管理：主版本号变化对应架构调整，比如 v11 把 Node.js 门槛提到 24、把容器端口从 80 改为 8080；次版本号通常增加新操作；修订号多为缺陷修复。升级前看一眼变更记录，能省掉不少“为什么本地跑不起来”的排查。

界面与配方：四个区域怎么用

打开页面会看到四个区域：左侧是操作（operations）列表，中间是配方（recipe）区，右上是输入框，右下是输出框。把操作拖进配方区，输入内容会被依次处理。Auto Bake 开着时结果随改随出，处理大文件可以关掉改成手动 Bake。

几个容易被忽略的机制值得单独说：

• 断点：在任意操作上设断点，逐段查看中间数据，用来排查“哪一步把数据弄坏了”。
• Fork：按行或自定义分隔符拆分输入，对每一行分别执行后续操作，批量处理时间戳、批量解密都靠它。
• Register、Conditional Jump、Label 与 Return：把输入里的片段存成变量、按条件走分支，配方就能表达简单流程。
• 保存与分享：配方可以存进浏览器本地存储，也可以复制带 recipe 和 input 的 URL，对方打开就是同样的配方与数据。

输入框支持直接拖文件进去，官方说明单文件上限约 2GB（取决于浏览器）；输出超过 1MiB 时会被当作文件提供下载，避免页面卡住。

不确定数据套了几层编码时，点输出区的 Magic。它用多种检测方法尝试还原，官方 wiki 里写了具体思路。同类“把桌面工具搬进浏览器”的做法，在 Photopea、Excalidraw 和 Compiler Explorer 上也能看到。

几个能马上上手的场景

刚开始用建议从结果确定、不容易出错的操作用起。下面几类占了日常使用的大多数：

1. 解来路不明的字符串：From Base64、From Hex、To Hex 互相转换，配合 Magic 判断层数。
2. 时间戳与日期：From UNIX Timestamp、Translate DateTime Format 互相换算，配 Fork 一次处理整列。
3. 哈希与凭证：SHA-2、SHA-3、HMAC 计算，JWT 解析，X.509 证书解析，用来核对签名或看证书由谁签发。
4. 二进制与压缩：From Hexdump 接 Gunzip，把日志里贴出的十六进制转回原文。

举个具体的流程。拿到一串以等号结尾、大小写混杂的字符，先拖入 From Base64 看是否出现可读文本；如果得到的是十六进制结构，再接 From Hex；中间某段看起来像被异或过，就在前后插入 XOR 并填入密钥，逐个比对输出。整个过程不用切换页面，改参数即时重算，比开三个终端来回试要快。

官方 README 为这些场景准备了可直接打开的深链，形如 #recipe=Operation()&input=...，配方与输入一起带在链接里，发给同事就能复现。

边界、隐私与适用人群

官方在下载说明里写得很具体：没有服务端组件，输入与配方不会发送出去；只有三个操作会请求外部服务，Show on map 从 wikimedia.org 拉地图瓦片，DNS over HTTPS 用 Google 或 Cloudflare 解析域名，HTTP request 请求你填写的地址。想确认可以按 F12 看 Network 面板。

几条需要提前知道的限制：

• 能跑通不等于结果正确：编码、哈希这类操作结果是确定的，但解密类操作在密钥或模式填错时通常只给出乱码，不会报错。
• 独立版不会自动更新：v11.1 到 v11.5 之间官方修过多个安全问题，长期用旧包等于把修复留在旧版。
• 不适合当密钥库或生产流水线：没有审计日志和权限模型；需要批量、自动化时，用它提供的 Node API 或自己写脚本更合适。
• 界面只有英文：操作名与参数说明都是英文，需要一点阅读基础。

适合的人群比较清楚：临时拆数据的前后端与运维、做 CTF 和取证的练习者、需要给日志做一次性转换的分析人员。上手路径建议是先用一个操作（From Base64）跑通，再把两三个操作串成配方，最后再碰 Fork 与条件跳转。

常见问题

会把数据传到服务器吗？默认不会，处理在浏览器里完成。例外是上面那三个会主动请求外部服务的操作，用之前可以按 F12 确认。

需要付费或注册吗？不需要。项目以 Apache 2.0 协议开源，代码在 GitHub 仓库，在线版免费使用，也没有账号体系。

有编程接口吗？有 Node API。v11 起 bake 与 execute 导出为异步函数，要求 Node.js 24 及以上，适合把配方接进脚本。

在线版和下载版内容一样吗？用同一套构建产物，区别在更新方式：在线版随官方发布更新，下载版要自己重新下载。版本变更可以看 CHANGELOG 和 v11.5.0 发布页。