解密TLS_DHE_WITH_AES_256_CBC_SHA256：JS/Python密钥不一致及解密失败

一、密钥不一致的核心原因 #

密钥不一致本质是TLS会话密钥派生流程的实现细节差异，具体可能出在这几个环节：

• PRF（伪随机函数）实现差异
  TLS_DHE_WITH_AES_256_CBC_SHA256使用基于SHA-256的PRF派生会话密钥，PRF输入严格要求按pre_master_secret + client_random + server_random的顺序拼接，且字节序必须为大端（网络字节序）。如果JS和Python代码在拼接顺序、字节转换（比如BigInt转字节串时的补零逻辑）上有差异，会直接导致最终密钥不同。
• Pre-Master Secret计算错误
  DHE共享密钥计算后，需要转换为固定长度的字节串。比如JS中用BigInt处理大数时，若未按TLS要求将共享密钥转换为32字节的大端字节串（不足补前导零），而Python中int.to_bytes参数未指定byteorder='big'或长度不对，都会导致pre_master_secret不一致，进而派生的密钥不同。
• 库的默认行为差异
  Node.js的crypto模块和Python的cryptography/ssl库，对DHE密钥派生的默认处理可能不同——比如是否自动处理PRF的输入封装，或者对会话密钥的截断长度（AES-256需要32字节密钥，若派生时截断逻辑错误也会出问题）。

二、解密失败的直接原因 #

ERR_OSSL_BAD_DECRYPT是OpenSSL抛出的填充验证失败错误，根源就是使用了错误的密钥：

• AES-CBC解密时，除了正确的IV，必须匹配加密时用的会话密钥。密钥错误会导致解密后的明文无法通过PKCS#7填充校验（TLS默认用PKCS#7填充），直接触发该错误。
• 额外需要确认：JS和Python代码中是否都明确指定了PKCS#7填充（比如Node.js中crypto.createDecipheriv确保autoPadding=true，Python中Cipher的填充方式设为PKCS7），若一方用了其他填充方式也会导致解密失败。

三、仅靠g、p、DHE常量能否完成解密？ #

不能，原因有两点：

• DHE密钥交换需要双方公钥
  g和p只是DHE的组参数，要计算共享密钥，必须同时获取客户端和服务器的DHE公钥（握手阶段交换的client_key_exchange和server_key_exchange中的公钥值），否则无法推导出pre_master_secret。
• 会话密钥派生需要额外输入
  TLS的PRF派生会话密钥时，还需要client_random和server_random（握手初期双方生成的随机数），这两个值是会话密钥的熵源之一，缺失的话无法生成正确的会话密钥。

内容的提问来源于stack exchange，提问作者gnarkill78