使用BouncyCastle的AES GCM解密时AEADBadTagException问题排查

针对你遇到的MAC校验失败问题，结合GCM模式特性和RSA-OAEP解密AES密钥的场景，以下是核心排查方向和解决方法：

1. AES密钥解密环节的潜在问题 #

• 可能原因：RSAES-OAEP解密AES密钥时，出现字节数组截断、错误的编码转换（比如把二进制密钥转成UTF-8字符串再转回字节，破坏原始字节结构），导致最终使用的AES密钥和加密端不一致。
• 解决方法：
  • 验证RSA解密后的AES密钥字节长度：必须是16/24/32字节（对应AES-128/192/256），长度不符直接说明解密结果错误。
  • 避免对二进制密钥做不必要的字符串转换：如果加密端传递的是Base64编码的加密AES密钥，RSA解密后要先做Base64解码得到原始密钥字节，而非直接用字符串转字节。

2. IV的传递与使用错误 #

• 可能原因：GCM模式要求解密IV和加密IV完全一致（字节内容、长度、顺序都不能变），且IV长度推荐为12字节。常见错误包括IV被截断、加密和解密时IV长度不一致、IV的字节顺序被修改。
• 解决方法：
  • 加密完成后，将IV与密文、标签一起传递（比如拼接成IV+密文+标签的字节数组），解密时先拆分出完整的IV字节数组。
  • 初始化GCMParameterSpec时，确保IV参数和加密端使用的完全相同，标签长度保持128位（和加密端统一）。

3. 密文与认证标签的拆分错误 #

• 可能原因：GCM加密输出通常是密文+标签或IV+密文+标签的结构，解密时如果拆分位置错误，会导致传入Cipher的密文包含部分标签，或标签长度不足，触发MAC校验失败。
• 解决方法：
  • 确认加密端的输出结构：如果标签长度是128位（16字节），则从加密数据末尾截取16字节作为标签，剩余部分为密文；如果包含IV，先截取对应长度的IV，再拆分密文和标签。
  • 示例拆分逻辑：

    // 假设加密数据格式为 IV(12字节) + 密文 + 标签(16字节)
    byte[] encryptedData = ...;
    byte[] iv = Arrays.copyOfRange(encryptedData, 0, 12);
    byte[] ciphertext = Arrays.copyOfRange(encryptedData, 12, encryptedData.length - 16);
    byte[] tag = Arrays.copyOfRange(encryptedData, encryptedData.length - 16, encryptedData.length);
    

4. 关联数据（AAD）不匹配 #

• 可能原因：如果加密时调用了cipher.updateAAD(aadBytes)添加了关联数据，解密时必须传入完全相同的AAD字节数组（内容、长度、编码一致），否则MAC校验会失败。
• 解决方法：检查加密代码是否使用了AAD，若有，解密时必须调用相同的updateAAD方法传入一致的AAD数据。

5. 加密提供者的兼容性问题 #

• 可能原因：混用JCE默认实现和BouncyCastle的加密逻辑，比如加密用BouncyCastle，解密用JCE默认，可能导致算法细节差异（如标签生成逻辑）。
• 解决方法：确保加密和解密使用同一套提供者，初始化Cipher时明确指定：

  Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding", "BC");
  

代码检查示例 #

正确的解密流程参考：

// 1. RSA-OAEP解密AES密钥
byte[] aesKeyBytes = rsaOaepDecrypt(encryptedAesKey);
SecretKey aesKey = new SecretKeySpec(aesKeyBytes, "AES");

// 2. 获取与加密一致的IV
byte[] iv = ...; // 从加密输出中拆分得到的原始IV

// 3. 拆分密文和标签
byte[] encryptedData = ...;
byte[] ciphertext = Arrays.copyOfRange(encryptedData, 0, encryptedData.length - 16);
byte[] tag = Arrays.copyOfRange(encryptedData, encryptedData.length - 16, encryptedData.length);

// 4. 初始化Cipher
Cipher cipher = Cipher.getInstance("AES/GCM/NoPadding", "BC");
GCMParameterSpec spec = new GCMParameterSpec(128, iv);
cipher.init(Cipher.DECRYPT_MODE, aesKey, spec);

// 5. 若加密时用了AAD，必须添加
// cipher.updateAAD(aadBytes);

// 6. 执行解密
byte[] plaintext = cipher.doFinal(ciphertext);

内容的提问来源于stack exchange，提问作者Sisodiya Mahipalsing