Python AES-256-GCM解密转Ruby报错：IV必须为12字节

核心差异原因 #

Python的cryptography库对AES-GCM的nonce兼容性更强，支持12字节以外的长度（比如16字节）——当nonce不是12字节时，它会自动按照NIST SP 800-38D标准，通过GHASH算法推导生成符合要求的12字节IV供底层使用。

而Ruby的OpenSSL::Cipher绑定严格遵循OpenSSL的默认限制，强制要求GCM模式下的IV（即nonce）必须是12字节，否则直接抛出iv must be 12 bytes的参数错误。

修复方案 #

有两种可行的修复方式，优先推荐第一种：

方式1：统一使用12字节Nonce（最优解） #

如果能控制加密端，直接将nonce固定为12字节，这是AES-GCM的标准推荐长度，能避免所有跨语言兼容问题。两边代码都不需要额外处理，直接用12字节nonce初始化GCM即可。

方式2：在Ruby中手动实现非12字节Nonce的转换逻辑 #

如果无法修改加密端，必须处理现有非12字节的nonce，需要在Ruby中手动实现Python cryptography的自动转换逻辑：

步骤说明

1. 生成GCM的哈希子密钥H：用PBKDF2生成的AES密钥加密16字节的全零数据（AES块大小为16字节）。
2. 用GHASH算法处理原nonce，得到12字节的IV。
3. 使用这个12字节IV进行解密操作。

示例Ruby代码

require 'openssl'

def ghash(h_subkey, data)
  block_size = 16
  data = data.dup
  # 补位到块大小的整数倍
  padding_length = (block_size - data.length % block_size) % block_size
  data += "\x00" * padding_length

  hash = "\x00" * block_size
  data.each_slice(block_size) do |block|
    block = block.pack('C*') if block.is_a?(Array)
    xor_block = hash.bytes.zip(block.bytes).map { |a, b| a ^ b }.pack('C*')
    cipher = OpenSSL::Cipher.new('AES-256-ECB')
    cipher.encrypt
    cipher.key = h_subkey
    cipher.padding = 0
    hash = cipher.update(xor_block) + cipher.final
  end
  hash[0, 12] # 取前12字节作为IV
end

# 替换为你的实际参数
password = 'your_password'
salt = 'your_salt' # 必须和Python代码中的盐完全一致
iterations = 100000 # PBKDF2迭代次数，和Python一致
hash_algorithm = 'sha256' # 和Python一致
ciphertext = 'your_ciphertext' # 待解密的密文
tag = 'your_tag' # GCM的认证标签
original_nonce = 'your_non_12_bytes_nonce' # 原非12字节nonce

# 1. 用PBKDF2生成AES密钥
key = OpenSSL::PKCS5.pbkdf2_hmac(password, salt, iterations, 32, OpenSSL::Digest.new(hash_algorithm))

# 2. 生成GCM哈希子密钥H
cipher_h = OpenSSL::Cipher.new('AES-256-ECB')
cipher_h.encrypt
cipher_h.key = key
cipher_h.padding = 0
h_subkey = cipher_h.update("\x00" * 16) + cipher_h.final

# 3. 计算12字节IV
iv = ghash(h_subkey, original_nonce)

# 4. 执行解密
cipher = OpenSSL::Cipher.new('AES-256-GCM')
cipher.decrypt
cipher.key = key
cipher.iv = iv
cipher.auth_tag = tag
# 如果加密时用了附加数据，需要添加：cipher.auth_data = 'your_associated_data'
plaintext = cipher.update(ciphertext) + cipher.final

puts plaintext

额外注意事项 #

• 确保PBKDF2的所有参数（密码、盐、迭代次数、哈希算法、密钥长度）在Python和Ruby代码中完全一致，否则生成的密钥会不同，解密必然失败。
• 如果加密时使用了附加数据（AD），Ruby代码中必须通过cipher.auth_data = ad设置，和Python端保持一致。

内容的提问来源于stack exchange，提问作者swampPI