AES-GCM加密Cookie的客户端验证方案及解密问题排查

一、修复CryptoJS AES-GCM解密函数 #

你当前解密失败的核心原因是误用了CBC模式，和后端的GCM模式不匹配。结合后端nonce+密文拼接后Base64编码的逻辑，正确的解密步骤如下：

关键注意事项 #

• 对齐后端的nonce长度：GCM模式推荐使用12字节nonce，必须和Go后端生成的nonce长度完全一致
• 密钥编码一致：如果后端通过UTF-8字符串生成密钥，前端也要用UTF-8解析；如果后端是Base64解码密钥，前端对应改用CryptoJS.enc.Base64.parse
• GCM模式不需要填充，必须设置NoPadding

修复后的TypeScript解密函数 #

import CryptoJS from 'crypto-js';

function decryptAesGcmCookie(cookieValue: string, secretKey: string): string | null {
  try {
    // 1. Base64解码Cookie原始值
    const base64Decoded = CryptoJS.enc.Base64.parse(cookieValue);
    // 转换为Uint8Array方便拆分nonce和密文
    const rawBytes = new Uint8Array(base64Decoded.sigBytes);
    for (let i = 0; i < base64Decoded.sigBytes; i++) {
      rawBytes[i] = (base64Decoded.words[i >>> 2] >>> (24 - (i % 4) * 8)) & 0xff;
    }

    // 2. 拆分nonce和密文（含GCM标签）
    const nonceLength = 12; // 和Go后端保持一致，不要随意修改
    const nonce = rawBytes.slice(0, nonceLength);
    const ciphertextWithTag = rawBytes.slice(nonceLength);

    // 3. 转换为CryptoJS兼容的格式
    const nonceWordArray = CryptoJS.lib.WordArray.create(nonce);
    const ciphertextWordArray = CryptoJS.lib.WordArray.create(ciphertextWithTag);
    const key = CryptoJS.enc.Utf8.parse(secretKey); // 密钥格式和后端对齐

    // 4. AES-GCM解密
    const decrypted = CryptoJS.AES.decrypt(
      { ciphertext: ciphertextWordArray },
      key,
      {
        mode: CryptoJS.mode.GCM,
        iv: nonceWordArray,
        padding: CryptoJS.pad.NoPadding,
      }
    );

    return decrypted.toString(CryptoJS.enc.Utf8);
  } catch (error) {
    console.error('Cookie解密失败:', error);
    return null;
  }
}

二、更优的Cookie验证方案 #

前端直接解密Cookie的风险 #

前端解密意味着AES密钥必须嵌入前端代码，一旦密钥泄露，攻击者可以伪造任意合法Cookie，完全突破会话验证机制，这是严重的安全漏洞。

推荐的验证流程 #

1. 后端控制解密与验证：前端无需解密Cookie，每次需要验证登录状态时，发送请求到后端的/api/auth/verify接口，由后端读取Cookie并解密验证
2. 后端Cookie安全配置：在Go后端设置Cookie时，必须添加以下安全属性：

   http.SetCookie(w, &http.Cookie{
       Name:     "session",
       Value:    encryptedSession,
       HttpOnly: true, // 禁止前端JS读取，防止XSS窃取
       Secure:   true, // 仅HTTPS传输
       SameSite: http.SameSiteStrictMode, // 防止CSRF攻击
       MaxAge:   3600 * 24, // 会话有效期
   })
   

3. 后端会话增强验证：解密Cookie后，后端还需检查：
   • 会话是否过期
   • 用户账号是否正常（未封禁、未注销）
   • 会话是否在黑名单中（比如用户主动登出时加入黑名单）

内容的提问来源于stack exchange，提问作者Daniel