使用正确KMS密钥解密时持续触发InvalidCiphertextException错误求助

你遇到的问题是加密正常但解密触发InvalidCiphertextException，以下是针对性的排查方向和修复方案：

1. 检查密文完整性与格式 #

• 确认encryptedField是加密后生成的完整Base64字符串，没有被修改、截断或混入额外字符（如空格、换行符）。可以对比加密后输出的原始密文和解密时传入的encryptedField，确保两者完全一致。
• 尝试手动对encryptedField进行Base64解码：如果解码失败，说明密文本身已损坏，需要检查存储或传输过程是否有问题。

2. 加密上下文（EncryptionContext）不匹配 #

如果加密时使用了EncryptionContext参数（用于绑定额外的上下文信息），解密时必须传入完全相同的上下文键值对，否则会触发异常。修改你的decryptField代码，添加对应的上下文：

export const decryptField = async (encryptedField) => {
  if (!encryptedField) {
    return null;
  }

  const decryptParams = {
    CiphertextBlob: Buffer.from(encryptedField, "base64"),
    // 必须和加密时的EncryptionContext完全一致
    EncryptionContext: { 
      "example-key": "example-value" 
    }
  };

  try {
    const res = await kms.send(new DecryptCommand(decryptParams));
    console.log("Decryption successful for field:", encryptedField);
    return res.Plaintext.toString("utf-8");
  } catch (error) {
    console.error("Error decrypting field:", encryptedField, error);
    throw new Error("Decryption error");
  }
};

3. 验证KMS密钥权限与一致性 #

• 确认解密使用的KMS密钥和加密时的是同一个：检查加密代码中指定的密钥ID/ARN，与当前解密客户端配置的密钥是否完全匹配（不同AWS区域的密钥即使ID相同，也是独立的资源）。
• 检查执行解密操作的IAM角色是否拥有kms:Decrypt权限，策略示例：

{
  "Effect": "Allow",
  "Action": "kms:Decrypt",
  "Resource": "arn:aws:kms:us-east-1:123456789012:key/your-key-id"
}

4. 检查KMS客户端区域配置 #

加密和解密必须使用相同的AWS区域，因为KMS密钥是区域级资源。确保你的KMS客户端配置的区域和加密时一致：

import { KMSClient } from "@aws-sdk/client-kms";

const kms = new KMSClient({ 
  region: "us-east-1" // 和加密时的区域一致
});

你的解密代码参考 #

export const decryptField = async (encryptedField) => {
  if (!encryptedField) {
    return null;
  }

  const decryptParams = {
    CiphertextBlob: Buffer.from(encryptedField, "base64"),
  };

  try {
    const res = await kms.send(new DecryptCommand(decryptParams));
    console.log("Decryption successful for field:", encryptedField);
    return res.Plaintext.toString("utf-8");
  } catch (error) {
    console.error("Error decrypting field:", encryptedField, error);
    throw new Error("Decryption error");
  }
};

export const decryptData = async (encryptedData) => {
  try {
    console.log("ENCRYPTED DATA:::::::", encryptedData);
    const decryptedData = {};
    for (const [key, value] of Object.entries(encryptedData)) {
      if (key === "accountId") {
        decryptedData[key] = value;
      } else if (key && value) {
        const decryptedField = await decryptField(value);
        if (decryptedField !== null) {
          decryptedData[key] = decryptedField;
        }
      }
    }
    return decryptedData;
  } catch (error) {
    console.error("Error decrypting data:", encryptedData, error);
    throw new Error("Decryption error");
  }
};

内容的提问来源于stack exchange，提问作者user25474058